【漏洞通告】WordPress Tatsu Builder插件遠程代碼執行漏洞 （CVE-2021-25094）
發布時間 2022-05-18
0x00 漏洞概述
CVE ID | CVE-2021-25094 | 發現時間 | 2022-05-16 |
類 型 | RCE | 等 級 | 高危 |
遠程利用 | 是 | 影響范圍 | |
攻擊復雜度 | 高 | 用戶交互 | 無 |
PoC/EXP | 是 | 在野利用 | 是 |
0x01 漏洞詳情
WordPress Tatsu Builder插件是一個流行的無代碼頁面構建器，它提供了集成到網絡瀏覽器中的強大模板編輯功能。
2022年5月16日，Wordfence 威脅情報團隊披露了針對Tatsu Builder 插件遠程代碼執行漏洞（CVE-2021-25094）的大規模攻擊。該漏洞的CVSS評分為8.1，可以利用該漏洞在未經身份驗證的情況下無限制上傳文件并實現遠程代碼執行。
由于3.3.12之前的Tatsu WordPress插件add_custom_font操作可以在未認證的情況下被用來上傳惡意zip文件，該文件在WordPress的上傳目錄下沒有被壓縮?？梢酝ㄟ^添加一個文件名以點". "開頭的PHP shell來繞過插件中實現的擴展控制。此外，由于zip 提取過程中存在競爭條件，使得 shell 文件在文件系統上的存在時間較長，而可以被調用。該漏洞的細節及其PoC已于2022 年3 月被公開披露。
Wordfence研究人員表示，該插件的安裝量在 20,000 - 50,000 之間，且其客戶在5月遭受了針對此漏洞的數百萬次攻擊，攻擊者試圖在 wp-content/uploads/typehub/custom/目錄的子文件夾中注入惡意軟件dropper，并使其成為隱藏文件。該dropper名為".sp3ctra_XO.php"，其MD5哈希值為3708363c5b7bf582f8477b1c82c8cbf8。
根據Wordfence的報告，超過百萬次的攻擊僅來自三個IP地址：148.251.183[.]254、176.9.117[.]218和217.160.145[.]62，建議使用WordPress Tatsu Builder插件的網站管理員將這些IP添加到黑名單（不穩定）并及時更新到最新版本。
影響范圍
Wordpress Tatsu Builder 插件版本 < 3.3.12
0x02 安全建議
目前此漏洞已經修復，建議受影響用戶升級更新到Tatsu Builder 插件最新版本3.3.13。
下載鏈接：
https://tatsubuilder.com/
注：3.3.12版本包含部分補丁，但并未完全修復。
0x03 參考鏈接
https://www.wordfence.com/blog/2022/05/millions-of-attacks-target-tatsu-builder-plugin/
https://darkpills.com/wordpress-tatsu-builder-preauth-rce-cve-2021-25094/
https://www.bleepingcomputer.com/news/security/hackers-target-tatsu-wordpress-plugin-in-millions-of-attacks/
0x04 版本信息
版本 | 日期 | 修改內容 |
V1.0 | 2022-05-18 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內極具實力的、擁有完全自主知識產權的網絡安全產品、可信安全管理平臺、安全服務與解決方案的綜合提供商。
公司總部位于北京市中關村軟件園，在全國各省、市、自治區設有分支機構，擁有覆蓋全國的渠道體系和技術支持中心，并在北京、上海、成都、廣州、長沙、杭州等多地設有研發中心。
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號