WordPress 7.1.1 remediază lanțul CSRF „Click2Shell” cu exploit public

Cercetătorii au publicat detalii tehnice și o demonstrație de funcționalitate pentru o vulnerabilitate de tip „cross-site request forgery” (CSRF) din nucleul WordPress, denumită Click2Shell. Conform raportului inițial, aceasta permite unui atacator neautentificat să forțeze instalarea oricărei teme din catalogul WordPress.org și să execute cod PHP pe server — cu condiția ca un administrator autentificat să deschidă un link special creat. WordPress a remediat problema în versiunea 7.1.1 săptămâna trecută.

Ce s-a întâmplat

Vulnerabilitatea a fost descoperită de Paulos Yibelo de la pwn.ai și raportată către WordPress pe 22 august. La momentul raportării, aceasta nu avea un identificator CVE oficial. Cauza principală este o valoare dintr-o adresă URL de previzualizare a temei, care este gestionată într-un mod de către API-ul de teme WordPress.org și într-un mod diferit, defectuos, de către JavaScript-ul care rulează în browserul administratorului.

Efectul practic este un lanț de evenimente. Atacatorul nu are nevoie de un cont, de drepturi administrative sau de un nonce de instalare. Însă cererea trebuie să provină din browserul unui administrator, astfel încât punctul de intrare este un link special creat — un atac de phishing țintit sau o vulnerabilitate existentă de tip cross-site scripting (XSS) pe site, care determină browserul să trimită cererea de la sine. Odată ce tema este adăugată, codul PHP al acesteia se poate executa în timpul previzualizării din Customizer, chiar și atunci când tema este inactivă.

Demonstrația a folosit o temă vulnerabilă specifică ca a doua etapă, dar raportul precizează că vulnerabilitatea din nucleul versiunii 7.1.0 și anterioare ar putea fi folosită pentru a instala forțat alte teme vulnerabile din catalog. Executarea codului pe partea de server înseamnă, în acest context, acces la fișiere, la datele utilizatorilor și la fișierul wp-config.php, care conține datele de autentificare pentru baza de date și secretele de autentificare, plus consecințele obișnuite: conturi de administrator neautorizate și scripturi injectate. WordPress a remediat problema prin escaparea slug-ului temei înainte ca acesta să ajungă la selectorul jQuery și prin limitarea selectorului la fișele reale ale temelor. Patchstack, care a analizat lanțul de atac, observă că conturile de autor și editor nu pot declanșa vulnerabilitatea, deoarece nu dispun de drepturi de instalare a temelor.

De ce este important

Multe companii mici și mijlocii își administrează site-ul public, și adesea un portal pentru clienți sau un magazin, pe WordPress, pe care nimeni nu îl verifică între lansările de versiuni. Două detalii fac ca această problemă să merite atenția dumneavoastră chiar acum: exploit-ul este public în întregime, iar declanșatorul este un singur clic al unui administrator — exact persoanele cele mai predispuse să dea clic pe un link care arată ca un tichet de asistență sau o notificare privind un plugin. Găzduirea partajată și site-urile unde departamentul de marketing deține conturi de administrator sunt punctele vulnerabile.

Ce trebuie făcut

• Actualizați fiecare instalare WordPress pe care o dețineți la versiunea 7.1.1, inclusiv mediile de testare, microsite-urile arhivate și site-urile clienților pe care le întrețineți. Faceți mai întâi un inventar; instalările uitate sunt de obicei victimele.
• În cazul în care actualizarea nu se poate efectua astăzi, setați DISALLOW_FILE_MODS în wp-config.php. Patchstack menționează că site-urile pe care această opțiune este activată nu pot fi forțate să instaleze tema sau un plugin. Considerați această măsură ca fiind una provizorie.
• Reduceți numărul de conturi cu rol de administrator și impuneți autentificarea multifactorială (MFA) rezistentă la phishing pentru cele rămase. Editorii și autorii nu pot declanșa acest lanț.
• Dacă un site rula versiunea 7.1.0 sau o versiune anterioară și este expus public, verificați dacă există teme neașteptate, utilizatori administratori noi și modificări recente în directorul wp-content înainte de a închide tichetul.