زنجیره شش‌مرحله‌ای آسیب‌پذیری قالب آوادا برای اجرای کد PHP
این حمله از ترکیب چند ضعف امنیتی در بخش‌های مختلف، از جمله کنترل دسترسی، اعتبارسنجی ورودی ، مرز اعتماد (Trust Boundary) و مدیریت فایل شکل می‌گیرد. مهاجم باید این ضعف‌ها را به ترتیب مشخصی زنجیره کند تا در نهایت امکان اجرای کد PHP دلخواه روی سرور هدف را به دست آورد. حمله با ارسال یک درخواست عمومی حاوی داده‌ای تحت کنترل مهاجم آغاز می‌شود. سپس این داده به بخشی از قالب آوادا می‌رسد که دسترسی به آن برای کاربران ناشناس مجاز نیست. مهاجم در ادامه یک کامپوننت دارای سطح دسترسی بالا را خارج از محدوده موردنظر فراخوانی می‌کند و از داده‌های موجود در درخواست برای تغییر وضعیت مورد اعتماد سیستم بهره می‌گیرد.
در مرحله پایانی، مهاجم به یک عملیات مدیریتی با حفاظت ناکافی دسترسی پیدا کرده و محدودیت‌های مربوط به مدیریت فایل را دور می‌زند. به این ترتیب، مهاجم می‌تواند یک فایل مخرب را در مسیر دلخواه روی سرور ایجاد کرده و سپس با اجرای کد PHP موجود در آن، کد دلخواه خود را روی سرور اجرا کند.
پیامدهای اجرای کد مخرب روی وب‌سایت قالب آوادا
در صورت سوءاستفاده موفق از این آسیب‌پذیری‌ها، مهاجم می‌تواند کنترل کامل وب‌سایت را در اختیار بگیرد و از آن برای فعالیت‌های مخرب استفاده کند. این دسترسی می‌تواند امکان استقرار بدافزار، دسترسی به اطلاعات پایگاه داده و هدایت بازدیدکنندگان به وب‌سایت‌های مخرب را برای مهاجم فراهم کند. همچنین مهاجم می‌تواند با ایجاد حساب‌های کاربری ادمین جعلی، دسترسی خود را به وب‌سایت حفظ کند.
نسخه‌های آسیب‌پذیر و دامنه تأثیر
به گفته پژوهشگران تیم Wordfence از شرکت Defiant، این آسیب‌پذیری در قالب آوادا در نسخه‌های 7.16 و قدیمی‌تر و در پلاگین Fusion Builder در نسخه‌های 3.16 و قدیمی‌تر وجود دارد. توسعه‌دهنده آوادا و پلاگین Fusion Builder، یعنی ThemeFusion، این آسیب‌پذیری را برطرف کرده است. با این حال، تیم Wordfence برای اینکه مدیران وب‌سایت‌ها فرصت کافی برای نصب به‌روزرسانی‌های امنیتی داشته باشند، هنوز جزئیات کامل فنی این حمله را منتشر نکرده است.
بر اساس اطلاعات منتشرشده، زنجیره حمله از شش مرحله تشکیل می‌شود:
- قرار دادن ورودی تحت کنترل مهاجم در یک درخواست عمومی
- استفاده از این ورودی در بخشی از سیستم که برای کاربران ناشناس محدود شده است
- فراخوانی یک کامپوننت دارای سطح دسترسی بالا خارج از محدوده موردنظر آن
- استفاده از داده‌های درخواست برای تغییر وضعیت مورد اعتماد سیستم
- دسترسی به یک عملیات مدیریتی که از حفاظت امنیتی کافی برخوردار نیست
- دور زدن محدودیت‌های مدیریت فایل برای ایجاد یا نوشتن فایل در مسیر موردنظر
دامنه گسترده اهداف آسیب‌پذیری
برای سوءاستفاده از این آسیب‌پذیری، نسخه آسیب‌پذیر قالب آوادا و پلاگین Fusion Builder باید روی وب‌سایت هدف فعال باشند. با این حال، پژوهشگران Wordfence توضیح داده‌اند که Fusion Builder یک پلاگین ضروری برای قالب آوادا است و همراه با آن نصب می‌شود.
در نتیجه، تمامی وب‌سایت‌هایی که آوادا را اجرا می‌کنند، Fusion Builder را نیز دارند و این پیش‌شرط عملاً دامنه اهداف احتمالی را محدود نمی‌کند.
آوادا یکی از قالب‌های محبوب وردپرس است و تاکنون بیش از یک میلیون نسخه از آن به فروش رسیده است. به گفته Wordfence، هر وب‌سایتی که نسخه آسیب‌پذیر این قالب را نصب کرده باشد، می‌تواند هدف این حمله قرار گیرد.
شناسایی زنجیره آسیب‌پذیری با فریم‌ورک Argus
پژوهشگران Wordfence این زنجیره شش‌مرحله‌ای را با استفاده از فریم‌ورک عامل‌محور (Agentic Framework) داخلی خود با نام Argus شناسایی کردند. این فریم‌ورک علاوه بر شناسایی آسیب‌پذیری، کد اثبات مفهوم (PoC) آن را نیز تولید کرد؛ کل این فرآیند در حدود دو ساعت انجام شد.
Argus در 30 جولای موفق شد آسیب‌پذیری را شناسایی و بازتولید کند. پژوهشگران Wordfence در 5 آگوست جزئیات کامل آسیب‌پذیری را برای ThemeFusion ارسال کردند و این شرکت در 10 آگوست گزارش را تأیید کرد. این توسعه‌دهنده در 26 آگوست نسخه‌های پچ شده زیر را منتشر کرد:
- Avada 7.16.1
- Fusion Builder 3.16.1
با توجه به شدت این آسیب‌پذیری، به مدیران وب‌سایت‌ها توصیه می‌شود در اسرع وقت نسخه‌های خود را به‌روزرسانی کنند.
