L’équipe de Wordfence a publié le 2 septembre ses données d’attaque concernant une faille critique de téléchargement de fichiers dans Elementor Pro. Cette publication survient deux semaines après la divulgation publique de la vulnérabilité le 19 août. Elle révèle que le plugin de sécurité a bloqué près de 200 000 attaques su cours des premiers jours, ciblant le CVE émis par Elementor.
Selon ces données, les attaquants ont commencé à rechercher des sites vulnérables le jour même où la faille a été décrite publiquement. Le pare-feu de Wordfence a alors bloqué plus de 190 000 tentatives d’exploitation depuis ce moment. Le trafic le plus lourd a été enregistré au cours des cinq premiers jours.
Le correctif a été inclus dans la version 4.2.2 d’Elementor. Les sites qui se trouvent encore sous 4.2.1 ou avant restent en danger s’ils remplissent les conditions préalables de l’exploitation et ne sont pas protégés par une atténuation distincte. Si c’est le cas de votre site, on vous invite à agir le plus rapidement possible. Voyons donc un peu plus en détails cette vulnérabilité et ses conséquences.
Six millions d’installations, mais pas tous les sites exposés
Wordfence estime qu’Elementor Pro compte plus de 6 millions d’installations actives. C’est la base d’installation, et pas nécessairement le nombre de sites exposés à ce défaut particulier.
Les deux sociétés de sécurité qui ont documenté la faille décrivent la même condition préalable. Le site doit tout d’abord avoir publié une page contenant un widget Elementor Pro Form. Celle-ci doit aussi un champ de téléversement de fichier qui n’est pas marqué comme obligatoire.
Patchstack, qui a attribué le CVE, note que le bouton obligatoire est désactivé par défaut, donc un formulaire construit sans changer ce paramètre correspond. Un site sans forme publique, ou avec des formes qui ne prennent pas de téléchargements, n’a toutefois jamais été accessible par ce chemin.
Pour quiconque gère de nombreux sites, cela se transforme en séquence. Identifiez d’abord les sites dans une version affectée, limitez-les ensuite à ceux qui publient un widget de formulaire avec un champ Téléchargement de fichier non requis et traitez tout site remplissant les deux conditions comme nécessitant une vérification des indicateurs de compromission.
Elementor a préparé le correctif en un jour
L’historique de la correction vaut la peine d’être analysé, car il détermine qui a été exposé et pendant combien de temps. La faille a été signalée à Patchstack le 16 juillet via son programme de primes de bogues, crédité dans le dossier CVE au chercheur Tin Pham, avec l’entrée de Wordfence nommant également Austin Ginder ; le fournisseur avait un correctif prêt le lendemain et la validation s’est terminée le 3 août.
La correction est dans 4.2.2. Le journal des modifications d’Elementor répertorie 4.2.2 sous le 6 août et 4.2.3 sous le 19 août, tandis que Patchstack et Wordfence datent la version corrigée du 19 août, soit le jour de publication de l’avis. L’entrée du journal des modifications 4.2.2 mentionne une correction de la barre supérieure de l’éditeur mais n’identifie pas de changement de sécurité. Les sources publiques n’expliquent pas la divergence.
Le jour de la divulgation était un jour d’attaque
Ce qui n’est pas ambigu, c’est ce qui s’est passé le 19 août. Wordfence rapporte que les tentatives ont commencé le jour même où la vulnérabilité a été décrite publiquement, que l’activité la plus intense s’est déroulée du 19 au 23 août, et son graphique publié montre que le volume a culminé le 20 août à environ 90 000 requêtes, avant de tomber à presque rien après le 26 août.
Dix adresses IP dominent sa liste, avec une en tête avec plus de 28 000 tentatives. Ces dix tentatives représentent au moins 138 000 des 190 000 tentatives de Wordfence, selon notre arithmétique, ce qui indique que l’activité observée était très concentrée.
Pour quiconque gère des sites au nom d’un tiers, cette courbe montre pourquoi il peut être nécessaire d’appliquer des mises à jour de sécurité critiques en dehors d’un cycle de correctifs hebdomadaire de routine. Il n’y a pas eu de période calme après la publication de cette faille pour planifier une mise à jour. Les attaques automatisées sont arrivées avec l’avis lui-même.
Éléments à vérifier sur un site que vous gérez utilisant Elementor Pro
Les données de Wordfence montrent que le pic initial s’était largement atténué à la fin du mois d’août, mais que les sites non corrigés peuvent encore être ciblés, de sorte que le travail se déroule dans les deux sens : mettre à jour ce qui est affecté et inspecter ce qui a pu être exposé. Trois vérifications le couvrent :
- Version. Confirmez qu’Elementor Pro est à la version 4.2.2 ou supérieure. Tout site exécutant la version 4.2.1 ou antérieure avec un formulaire publié contenant un champ de téléchargement de fichier non requis doit être traité comme potentiellement exposé pour la période où ce formulaire était public.
- Le répertoire des téléchargements. Recherchez dans wp-content/uploads/elementor/forms/ tout fichier qui ne fait pas partie des types de documents ou d’images acceptés par les formulaires du site. Wordfence le dit clairement. Ce répertoire ne devrait jamais contenir de fichiers PHP. S’il y a du PHP, c’est donc un fort indicateur de compromis.
- Journaux d’accès. Recherchez les requêtes vers wp-admin/admin-ajax.php contenant l’action elementor_pro_forms_send_form. Wordfence publie les dix adresses qu’il a vues le plus souvent, ce qui donne un filtre de départ. Il avertit aussi que ne rien trouver dans les journaux ne prouve pas qu’un site n’a pas été compromis.
Si un fichier suspect apparaît, la règle habituelle s’applique. Un shell web chargé est un point d’entrée plutôt que l’ensemble de l’incident. Le site doit donc être examiné pour détecter d’autres portes dérobées et tout ce que l’attaquant a pu écrire ailleurs. Si c’est votre cas, on vous invite à prendre rapidement de sérieuses précautions.
Comment la vérification de chargement a été contournée
Le bogue est facile à décrire. Le gestionnaire de formulaires d’Elementor Pro a exécuté deux boucles sur les fichiers dans un champ de chargement. L’une est pour les valider, l’autre pour les mettre en place.
Dans le compte de Patchstack, la boucle de validation utilisait return là où la boucle de traitement utilisée continue. Un attaquant qui a soumis un premier fichier vide et un second fichier nommé avec une extension .php a fait quitter la validation sur l’entrée vide. Pour ce faire, il sautint les vérifications d’extension et de type de fichier pour tout ce qui suit. Et ce, tandis que la boucle de traitement continuait et écrivait le fichier restant sur le disque.
Aucune connexion et aucun nonce n’étaient nécessaires. Les valeurs requises pour construire la requête, l’ID de publication, l’ID de formulaire et les noms de champ sont tous visibles dans la page source publique.
Le fichier téléchargé atterrit dans wp-content/uploads/elementor/forms/ sous ce que Wordfence décrit comme un nom de fichier généré aléatoirement avec l’extension choisie par l’attaquant. Une fois ce nom de fichier déterminé, il peut être demandé directement pour exécuter des commandes sur le serveur.
Les deux entreprises ont des scores différents, ce qui vaut la peine d’être noté si un client demande pourquoi les chiffres ne correspondent pas. L’enregistrement CVE, attribué par Patchstack, le classe à 9.0 et traite la complexité de l’attaque comme élevée.
L’entrée de Wordfence la classe plutôt à 9.8. Les deux sont dans la zone jugée critique, et tous deux décrivent le même résultat potentiel : une compromission complète du site.
Pour conclure sur la faille d’Elementor Pro et les attaques qui l’ont exploité
Il n’est pas rare que des failles de sécurité soient découvertes dans des plugins WordPress. La grande popularité d’Elementor a toutefois contribué à donner une plus grande ampleur à la vulnérabilité découverte à la fin aout. Les chiffres révélés par Wordfence suggèrent que plusieurs centaines de milliers d’attaques ont été coordonnées dès la divulgation de la faille.
Heureusement, l’équipe d’Elementor a émis rapidement un correctif de sécurité. Le délai n’a toutefois pas suffit à éviter que de nombreux sites soient victimes d’injection de code malveillant.
Si votre site remplit les conditions l’exposant à cette vulnérabilité, il est urgent d’agir pour le protéger. La faille se voit attribué un score de gravité de 9.0 à 9.8 sur 10. Elle représente donc un risque critique, pouvant avoir des conséquences désastreuses.
Nous espérons que cet article vous a plus et vous a éclairé sur la faille d’Elementor Pro. Si c’est le cas, nous vous invitons à consulter nos autres articles et comparatifs de notre blog. Vous y trouverez les informations les plus récentes sur l’industrie l’hébergement et sur la création de sites web.
