एवेरेस्ट बैकअप <= 2.3.5 — अनधिकृत जानकारी के उजागर होने की ओर ले जाने वाली अनुपस्थित प्राधिकरण (CVE-2025-11380)

सारांश: एक टूटी हुई एक्सेस कंट्रोल कमजोरियां (CVE-2025-11380) जो एवेरेस्ट बैकअप प्लगइन के संस्करणों को 2.3.5 तक प्रभावित करती है, अनधिकृत उपयोगकर्ताओं को बैकअप जानकारी तक पहुंचने या उसे सूचीबद्ध करने की अनुमति देती है। विक्रेता ने इसे 2.3.6 में ठीक किया। यह पोस्ट तकनीकी जोखिम, शोषण परिदृश्य, पहचान और जांच के कदम, तात्कालिक शमन (जिसमें WAF के साथ आभासी पैचिंग शामिल है), दीर्घकालिक सख्ती, और अनुशंसित डेवलपर सुधारों को समझाती है।.

कार्यकारी अवलोकन (संक्षिप्त)

10 अक्टूबर 2025 को एवेरेस्ट बैकअप (≤ 2.3.5) को प्रभावित करने वाली एक टूटी हुई एक्सेस कंट्रोल कमजोरियां सार्वजनिक रूप से प्रकट की गई और इसे CVE-2025-11380 सौंपा गया। कुछ प्लगइन एंडपॉइंट्स बैकअप मेटाडेटा लौटाते हैं या उचित प्राधिकरण जांच के बिना डाउनलोड सक्षम करते हैं — जिसका अर्थ है कि अनधिकृत आगंतुक कुछ सेटअप में बैकअप को सूचीबद्ध या पुनर्प्राप्त कर सकते हैं।.

जोखिम स्तर: मध्यम (CVSS ~5.9)।. प्रभाव: जानकारी का उजागर होना (बैकअप फ़ाइल नाम, URLs, सीधे डाउनलोड), साइट कॉन्फ़िगरेशन और संवेदनशील डेटा का खुलासा। शोषण आगे के हमलों को आसान बना सकता है (प्रमाण पत्र खोज, डेटा चोरी, विशेषाधिकार वृद्धि की तैयारी)। विक्रेता ने प्राधिकरण जांच को लागू करने के लिए 2.3.6 जारी किया। यदि आप एवेरेस्ट बैकअप चला रहे हैं, तो तुरंत अपडेट करें। यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो नीचे दिए गए शमन लागू करें, जिसमें अस्थायी WAF/एज सुरक्षा शामिल है।.

यह वर्डप्रेस साइट मालिकों के लिए क्यों महत्वपूर्ण है

बैकअप संवेदनशील जानकारी का एक संकेंद्रित भंडार हैं: डेटाबेस डंप, wp-config.php, अपलोड, थीम/प्लगइन फ़ाइलें और अधिक। बैकअप लिस्टिंग या डाउनलोड एंडपॉइंट्स का कोई भी अनधिकृत उजागर होना हमलावर को शोषण के लिए डेटा का एक समृद्ध स्रोत प्रदान करता है:

• उपलब्ध बैकअप की सूची बनाएं और डाउनलोड करने के लिए एक हालिया बैकअप चुनें;
• डेटाबेस डंप डाउनलोड करें और उपयोगकर्ता डेटा या प्रमाण पत्र निकालें;
• बैकअप सामग्री से साइट संरचना, प्लगइन संस्करण, या व्यवस्थापक उपयोगकर्ता नाम जानें;
• लक्षित हमलों, फ़िशिंग, या पुनर्विक्रय के लिए निकाले गए रहस्यों का उपयोग करें।.

क्योंकि बैकअप को कड़ी सुरक्षा की आवश्यकता होती है, बैकअप एंडपॉइंट्स पर अनुपस्थित प्राधिकरण को उच्च प्राथमिकता के रूप में माना जाना चाहिए।.

भेद्यता सारांश (तकनीकी)

क्या हुआ: एक या एक से अधिक प्लगइन एंडपॉइंट्स ने बैकअप जानकारी या डाउनलोड क्षमताओं को उजागर किया, जिन्होंने अनुरोधकर्ता की प्राधिकरण को मान्य नहीं किया (क्षमता जांच या नॉनस मान्यता की कमी)। परिणामस्वरूप, अनधिकृत HTTP अनुरोध बैकअप मेटाडेटा प्राप्त कर सकते थे और, कुछ सेटअप में, बैकअप फ़ाइलें डाउनलोड कर सकते थे।.

शोषण परिदृश्य

1. बैकअप सूचीकरण: हमलावर प्लगइन सूचीकरण एंडपॉइंट को क्वेरी करता है और नाम, तिथियाँ, आकार प्राप्त करता है - फिर एक हालिया बैकअप को लक्षित करता है।.
2. प्रत्यक्ष डाउनलोड: यदि प्रत्यक्ष डाउनलोड URLs बिना जांच के उजागर होते हैं, तो हमलावर एक पूर्ण बैकअप संग्रह प्राप्त कर सकते हैं जिसमें डेटाबेस निर्यात और wp-config.php शामिल हैं।.
3. स्वचालित स्कैनिंग: बॉट्स प्लगइन को स्कैन करते हैं और बड़े पैमाने पर एंडपॉइंट्स की जांच करते हैं - अवसरवादी शोषण वास्तविक है जब तक कि उपाय लागू नहीं किए जाते।.
4. उजागर सामग्री से पिवटिंग: बैकअप से एकत्रित क्रेडेंशियल्स या टोकन विशेषाधिकार वृद्धि या पार्श्व आंदोलन को सक्षम कर सकते हैं।.

क्योंकि शोषण के लिए कोई प्रमाणीकरण की आवश्यकता नहीं होती है, तेज स्वचालित स्कैनिंग मुख्य परिचालन खतरा है जब तक कि साइटों को पैच या सुरक्षित नहीं किया जाता।.

साइट मालिकों के लिए तात्कालिक कार्रवाई (पहले 24 घंटे)

1. तुरंत प्लगइन को 2.3.6 में अपडेट करें।. विक्रेता का सुधार प्राथमिक सुधारात्मक कार्रवाई है।.
2. यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो एवरस्ट बैकअप को निष्क्रिय करें।. निष्क्रियता प्लगइन एंडपॉइंट्स को हटा देती है।.
3. अस्थायी WAF/एज नियम या सर्वर-स्तरीय प्रतिबंध लागू करें।. पैच होने तक प्लगइन एंडपॉइंट्स तक पहुंच को ब्लॉक करने के लिए अपने होस्टिंग नियंत्रण पैनल, CDN, या WAF का उपयोग करें।.
4. सर्वर नियमों द्वारा पहुंच को प्रतिबंधित करें।. प्लगइन पथों के लिए सार्वजनिक पहुंच को अस्वीकार करने के लिए Apache/Nginx स्तर पर नियम जोड़ें।.
5. लॉग और समझौते के संकेतों की जांच करें।. प्लगइन पथों या संग्रह डाउनलोड के लिए वेब सर्वर और WAF लॉग में खोजें।.
6. यदि बैकअप डाउनलोड किए गए हैं तो क्रेडेंशियल और रहस्यों को बदलें।. यदि डाउनलोड का सबूत मौजूद है तो समझौता मानें: DB पासवर्ड, API कुंजी, व्यवस्थापक पासवर्ड बदलें।.
7. सबूत को संरक्षित करें।. फोरेंसिक विश्लेषण के लिए लॉग, संदिग्ध फ़ाइलों की प्रतियां और बैकअप को संरक्षित करें।.

यह कैसे पता करें कि आपकी साइट को जांचा गया था या शोषित किया गया था

निम्नलिखित पैटर्न के लिए पहुंच लॉग (और WAF लॉग) में खोजें - अपने वातावरण के लिए समायोजित करें:

• /wp-content/plugins/everest-backup/
• /wp-content/plugins/everest-backup/*
• /wp-json/*everest*/*
• /wp-json/everest-backup/*
• admin-ajax.php?action=… (बैकअप से संबंधित क्रियाओं की तलाश करें)
• अनुरोध जो डाउनलोड अंत बिंदुओं के लिए बड़े फ़ाइलों या HTTP 200 प्रतिक्रियाएँ लौटाते हैं

उदाहरण grep कमांड (अपने सर्वर पर चलाएँ):

# पिछले 30 दिनों में प्लगइन निर्देशिका अनुरोधों के लिए Apache / access लॉग खोजें"

असामान्य उपयोगकर्ता एजेंट, तेजी से दोहराए गए अनुरोध, संदिग्ध IP से अनुरोध, या बड़े GET प्रतिक्रियाओं की तलाश करें जो फ़ाइल डाउनलोड का संकेत देती हैं। यदि आप डाउनलोड का सबूत पाते हैं, तो साइट को समझौता मानें और पूर्ण घटना प्रतिक्रिया शुरू करें।.

समझौते के संकेत (IOCs)

• अज्ञात IP से प्लगइन पथों के लिए अनुरोध।.
• HTTP 200 लौटाने वाले आर्काइव्स के साथ एक्सेस लॉग प्रविष्टियाँ (Content-Type: application/zip या application/octet-stream)।.
• प्लगइन डाउनलोड समय से मेल खाते हुए बढ़ा हुआ आउटबाउंड ट्रैफ़िक।.
• संदिग्ध डाउनलोड समय के बाद नए प्रशासनिक खाते या अनधिकृत संशोधन।.

यदि कोई IOC मौजूद है, तो क्रेडेंशियल्स को घुमाएँ और पूर्ण मैलवेयर और अखंडता स्कैन करें।.

तात्कालिक शमन उपाय जो आप लागू कर सकते हैं (उदाहरणों के साथ)

सुरक्षित, उलटने योग्य शमन उपाय जो जोखिम को कम करते हैं जब तक आप प्लगइन को अपडेट नहीं करते। हमेशा पहले स्टेजिंग पर परीक्षण करें।.

1) प्लगइन को निष्क्रिय करें

वर्डप्रेस प्रशासन से: प्लगइन्स → स्थापित प्लगइन्स → एवेरेस्ट बैकअप को निष्क्रिय करें।.

2) आईपी द्वारा प्लगइन निर्देशिका को प्रतिबंधित करें (Apache .htaccess)

# /wp-content/plugins/everest-backup/.htaccess में रखें

3) Nginx में प्लगइन पथों को अवरुद्ध करें

# सर्वर ब्लॉक में जोड़ें

4) ModSecurity/WAF के माध्यम से REST एंडपॉइंट्स या admin-ajax क्रियाओं को अवरुद्ध करें

यदि सटीक क्रिया नाम ज्ञात नहीं हैं, तो प्लगइन फ़ोल्डर और REST नामस्थान पैटर्न को अवरुद्ध करें।.

# उन अनुरोधों को अवरुद्ध करें जो प्लगइन पथ तक पहुँचने का प्रयास करते हैं"

5) प्लगइन एंडपॉइंट्स के लिए लॉगिन किए गए उपयोगकर्ता की आवश्यकता (अस्थायी mu-plugin)

इसे प्लगइन पथों तक गुमनाम पहुँच को अवरुद्ध करने के लिए एक छोटे mu-plugin के रूप में जोड़ें — अस्थायी और परीक्षण किया जाना चाहिए।.

<?php;

WAF / आभासी पैचिंग रणनीति (विक्रेता-न्यूट्रल)

यदि आप एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या CDN नियम इंजन का उपयोग करते हैं, तो विक्रेता-न्यूट्रल आभासी पैच लागू करें ताकि आप विक्रेता के अपडेट को लागू करने तक अनधिकृत पहुँच पैटर्न को अवरुद्ध कर सकें:

• अनधिकृत या बाहरी आईपी से /wp-content/plugins/everest-backup/* पर अनुरोधों को ब्लॉक करें।.
• /wp-json/*everest*/* या प्लगइन नामस्थान में REST मार्गों पर अनधिकृत अनुरोधों को ब्लॉक करें।.
• प्लगइन निर्देशिकाओं में .zip, .sql, .tar फ़ाइलों तक सीधी पहुँच को ब्लॉक करें या जब क्वेरी में डाउनलोड पैरामीटर शामिल हों (जैसे, ?download=)।.
• बैकअप सूचीबद्ध करने वाले एंडपॉइंट्स पर दर-सीमा निर्धारित करें (उदाहरण: प्रति आईपी अधिकतम 10 अनुरोध/मिनट)।.
• प्लगइन डाउनलोड एंडपॉइंट्स से आर्काइव सामग्री प्रकार लौटाने वाले किसी भी 200 प्रतिक्रियाओं पर अलर्ट करें।.

वर्चुअल पैचिंग बिना कोड परिवर्तनों के जोखिम को जल्दी कम करता है। नियमों को सावधानी से लागू करें और झूठे सकारात्मक के लिए निगरानी करें।.

यह कैसे सत्यापित करें कि सुधार सही तरीके से लागू किया गया है

1. बैकअप सूची की गुमनाम पुनर्प्राप्ति का प्रयास करें - इसे विफल होना चाहिए (403/401) या कोई संवेदनशील जानकारी नहीं लौटानी चाहिए।.
2. बैकअप फ़ाइल का गुमनाम डाउनलोड करने का प्रयास करें - इसे ब्लॉक किया जाना चाहिए।.
3. पुष्टि करें कि WAF/CDN लॉग प्लगइन पथों पर ब्लॉक किए गए अनुरोध दिखाते हैं।.
4. यह सुनिश्चित करने के लिए आंतरिक स्कैन चलाएँ कि एंडपॉइंट अब जानकारी को उजागर नहीं करते हैं।.

यदि गुमनाम पुनर्प्राप्ति अभी भी सफल होती है, तो सुनिश्चित करें कि सभी उदाहरणों पर अपडेट/माइग्रेशन लागू किए गए थे और पुराने प्रतिक्रियाओं के लिए कैशिंग/CDN परतों की जांच करें।.

दीर्घकालिक रक्षा और मजबूत करना

• WordPress कोर, थीम और प्लगइन्स को अपडेट रखें।.
• त्वरित प्राथमिकता के लिए स्थापित प्लगइनों का एक सूची बनाए रखें।.
• अप्रयुक्त प्लगइनों को अनइंस्टॉल करें (न्यूनतम प्लगइन सिद्धांत)।.
• प्लगइन संचालन के लिए न्यूनतम विशेषाधिकार लागू करें (उचित भूमिकाओं के लिए डाउनलोड क्षमता को प्रतिबंधित करें)।.
• बैकअप रणनीति को मजबूत करें: ऑफ-साइट स्टोर करें (एन्क्रिप्टेड S3 या समकक्ष), वेब-एक्सेसिबल निर्देशिकाओं में बैकअप स्टोर करने से बचें, और बैकअप को विश्राम में एन्क्रिप्ट करें।.
• प्रशासन-एजाक्स या REST के माध्यम से लागू की गई क्रियाओं के लिए नॉनसेस और सर्वर-साइड क्षमता जांच का उपयोग करें।.
• बैकअप वाली निर्देशिकाओं के लिए सर्वर-स्तरीय सुरक्षा लागू करें।.
• लॉग को बनाए रखें और निगरानी करें; आर्काइव डाउनलोड या असामान्य एंडपॉइंट्स के लिए अलर्ट सेट करें।.
• बैकअप या संवेदनशील संचालन को संभालने वाले प्लगइन्स के लिए समय-समय पर सुरक्षा समीक्षाएँ और कोड ऑडिट करें।.

डेवलपर्स (प्लगइन लेखकों) के लिए सिफारिशें

• प्रत्येक एंडपॉइंट पर क्षमता जांच लागू करें (जैसे, current_user_can(‘manage_options’)).
• प्रमाणीकरण को सर्वर-साइड पर मान्य करें; अस्पष्टता पर निर्भर न रहें।.
• AJAX/REST क्रियाओं के लिए WordPress नॉनसेस का उपयोग करें और उन्हें सर्वर पर सत्यापित करें।.
• कभी भी बैकअप को सार्वजनिक रूप से सुलभ फ़ोल्डरों में न रखें; यदि आवश्यक हो, तो सर्वर-स्तरीय प्रमाणीकरण या हस्ताक्षरित समाप्ति लिंक लागू करें।.
• सभी इनपुट को साफ़ और मान्य करें; अधिकृत अभिनेताओं के लिए आउटपुट को सीमित करें।.
• डेटा ट्रांसफर के लिए HTTPS की आवश्यकता करें और हस्ताक्षरित, समय-सीमित डाउनलोड लिंक का उपयोग करें।.
• ऐसे परीक्षण जोड़ें जो प्रमाणीकरण रहित पहुंच के प्रयासों का अनुकरण करें ताकि पहुंच नियंत्रण प्रवर्तन सुनिश्चित हो सके।.
• एक कमजोरियों का खुलासा नीति प्रकाशित करें और सुरक्षा सुधारों के लिए एक अद्यतन ताल बनाए रखें।.

घटना प्रतिक्रिया चेकलिस्ट (यदि आप बैकअप एक्सपोजर की पुष्टि करते हैं)

1. उस समय सीमा और IP पते की पहचान करें जिन्होंने बैकअप एंडपॉइंट्स तक पहुंच बनाई।.
2. विश्लेषण के लिए लॉग (वेब सर्वर, WP, WAF) को संरक्षित और निर्यात करें।.
3. डेटाबेस क्रेडेंशियल्स, API कुंजी और उजागर रहस्यों को घुमाएँ।.
4. नए नमक उत्पन्न करें और जहां संभव हो, टोकन को फिर से कुंजीबद्ध करें।.
5. प्रशासक और विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए पासवर्ड रीसेट करने के लिए मजबूर करें।.
6. समझौता किए गए कलाकृतियों को हटा दें और विश्वसनीय स्रोतों से पुनर्निर्माण करें।.
7. वेब शेल, दुर्भावनापूर्ण संशोधनों, या संदिग्ध प्रशासक उपयोगकर्ताओं के लिए स्कैन करें।.
8. हितधारकों को सूचित करें और स्थानीय डेटा उल्लंघन रिपोर्टिंग दायित्वों का पालन करें।.
9. मूल कारण को समाप्त करने और प्रक्रियाओं में सुधार करने के लिए एक पोस्ट-घटना समीक्षा करें।.

उदाहरण पहचान क्वेरी और खोजने के लिए लॉग स्निप्पेट

• अपाचे संयुक्त लॉग पैटर्न: “GET /wp-content/plugins/everest-backup/” 200
• प्लगइन पथों पर GET अनुरोधों के लिए बड़े Content-Length मानों की तलाश करें (जैसे, > 100000)।.
• प्लगइन पथों के लिए ट्रिगर किए गए वर्चुअल पैच नियम दिखाने वाले WAF प्रविष्टियाँ।.

घुमाए गए लॉग फ़ाइलों में grep/zgrep चलाने के लिए अपने होस्टिंग पैनल या सर्वर CLI का उपयोग करें।.

क्यों वर्चुअल पैचिंग अब महत्वपूर्ण है

जब एक सार्वजनिक भेद्यता बैकअप तक बिना प्रमाणीकरण के पहुंच सक्षम करती है, तो हमलावर व्यापक और तेजी से स्कैन करते हैं। वर्चुअल पैचिंग - जो किनारे, CDN या WAF पर लागू होती है - एक त्वरित सुरक्षात्मक परत प्रदान करती है जो कमजोर एंडपॉइंट्स पर दुर्भावनापूर्ण अनुरोधों को रोकती है जब तक कि आप आधिकारिक अपडेट स्थापित नहीं कर लेते।.

लाभ:

• प्लगइन कोड को संशोधित किए बिना हमले की सतह में तात्कालिक कमी।.
• साइटों और उदाहरणों में नियमों का केंद्रीकृत अनुप्रयोग।.
• तेजी से जांच के लिए शोषण प्रयासों का बारीक लॉगिंग और अलर्टिंग।.

व्यावहारिक उदाहरण: WAF नियम सुझाव (मानव-पठनीय)

• बिना प्रमाणीकरण वाले उपयोगकर्ताओं से /wp-content/plugins/everest-backup/* के तहत फ़ाइलों के लिए सभी GET अनुरोधों को अस्वीकार करें।.
• जब तक एक मान्य सत्र कुकी या हस्ताक्षरित टोकन मौजूद न हो, /wp-json/*everest*/* से मेल खाने वाले REST अनुरोधों को अस्वीकार करें।.
• प्लगइन फ़ोल्डरों को लक्षित करने वाले प्रश्न पैरामीटर जैसे download= या file= वाले अनुरोधों को ब्लॉक करें।.
• बैकअप सूचीबद्ध करने वाले एंडपॉइंट्स को प्रति IP 10/मिनट की दर से सीमित करें।.

सावधानी से लागू करें और पूर्ण प्रवर्तन से पहले निगरानी/गैर-ब्लॉकिंग मोड में परीक्षण करें।.

अक्सर पूछे जाने वाले प्रश्न

प्रश्न: यदि मैं 2.3.6 में अपडेट करता हूँ, तो क्या मुझे अभी भी कुछ करना है?
उत्तर: पहले अपडेट करें। अपडेट करने के बाद, सुनिश्चित करें कि एंडपॉइंट्स अब बैकअप को उजागर नहीं करते। यदि अपडेट से पहले उजागर हुआ, तो रहस्यों को घुमाएँ।.

प्रश्न: क्या मैं पुराने बैकअप को हटाने पर भरोसा कर सकता हूँ?
उत्तर: पुराने बैकअप को हटाना मदद करता है लेकिन भेद्यता को ठीक करने के लिए प्रतिस्थापित नहीं करता। सुनिश्चित करें कि बैकअप सार्वजनिक पथों से हटा दिए गए हैं और लिंक किए गए संसाधनों को अमान्य किया गया है।.

प्रश्न: क्या प्लगइन को निष्क्रिय करने से बैकअप हट जाते हैं?
उत्तर: आमतौर पर नहीं — निष्क्रियता अक्सर डिस्क पर फ़ाइलें छोड़ देती है। प्लगइन दस्तावेज़ की जांच करें और यदि आप उन पर अब भरोसा नहीं करते हैं तो सार्वजनिक निर्देशिकाओं में कोई भी फ़ाइलें हटा दें।.

जिम्मेदार प्रकटीकरण के लिए डेवलपर-सुरक्षित मार्गदर्शन

1. आधिकारिक चैनलों या उनके VDP के माध्यम से प्लगइन लेखक से निजी तौर पर संपर्क करें।.
2. पुनरुत्पादन चरण, प्रभावित संस्करण और सुझाए गए सुधार प्रदान करें।.
3. सार्वजनिक प्रकटीकरण से पहले विक्रेता प्रतिक्रिया के लिए उचित समय दें।.
4. यदि सक्रिय रूप से शोषण किया जा रहा है और विक्रेता संपर्क विफल हो जाता है, तो होस्टिंग प्रदाताओं और सुरक्षा समुदायों के साथ प्रकटीकरण का समन्वय करें।.

समापन विचार

हांगकांग सुरक्षा दृष्टिकोण से: किसी भी पहुंच योग्य बैकअप अंत बिंदु को एक तात्कालिक घटना के रूप में मानें। आगे का रास्ता स्पष्ट है — पहचानें, अवरुद्ध करें, पैच करें, सत्यापित करें और मजबूत करें। विक्रेता पैच का त्वरित अनुप्रयोग महत्वपूर्ण है; यदि आप तुरंत पैच नहीं कर सकते हैं, तो अस्थायी सर्वर-स्तरीय प्रतिबंध और WAF नियम आपको समय देंगे।.

यदि आपको जांच, सीमांकन, या आभासी पैचिंग में सहायता की आवश्यकता है, तो अपने होस्टिंग प्रदाता या एक विश्वसनीय सुरक्षा सलाहकार के साथ काम करें। बैकअप और उनमें शामिल रहस्यों की रक्षा करें — यह संचालन सुरक्षा का एक मूलभूत हिस्सा है।.

— हांगकांग सुरक्षा विशेषज्ञ