У WordPress 7.1.1 виправлено ланцюжок CSRF «Click2Shell» із загальнодоступним експлойтом

Дослідники опублікували технічні деталі та робочий прототип, що демонструє уразливість типу «міжсайтової підробки запитів» (CSRF) у ядрі WordPress, названу Click2Shell. Згідно з оригінальним звітом, ця вразливість дозволяє неавторизованому зловмиснику примусово встановити будь-яку тему з каталогу WordPress.org та запустити PHP на сервері — за умови, що адміністратор, який увійшов у систему, відкриє спеціально підготоване посилання. WordPress усунув цю проблему у версії 7.1.1 минулого тижня.

Що сталося

Вразливість була виявлена Паулосом Ібело (Paulos Yibelo) з pwn.ai та повідомлена розробникам WordPress 22 серпня. На момент публікації звіту вона не має офіційного ідентифікатора CVE. Основною причиною є значення з URL-адреси попереднього перегляду теми, яке обробляється одним способом API тем WordPress.org, а іншим — з помилкою — JavaScript, що виконується в браузері адміністратора.

На практиці це призводить до ланцюгової реакції. Зловмиснику не потрібні обліковий запис, адміністративні права чи одноразовий код установки. Однак запит має надходити саме з браузера адміністратора, тому точкою входу є спеціально сформоване посилання — цілеспрямований фішинг або існуюча на сайті вразливість типу «міжсайтовий скриптинг», яка змушує браузер самостійно відправляти запит. Після додавання теми її PHP-код може виконуватися під час попереднього перегляду в Customizer, навіть якщо тема неактивна.

У демонстрації як другий етап використовувалася одна конкретна вразлива тема, але у звіті зазначається, що вразливість ядра у версії 7.1.0 та раніше можна було використати для примусової інсталяції інших вразливих тем із каталогу. Виконання коду на стороні сервера в цьому випадку означає доступ до файлів, даних користувачів та файлу wp-config.php з обліковими даними бази даних та секретами автентифікації, а також звичайні наслідки: створення несанкціонованих облікових записів адміністраторів та введення шкідливих скриптів. Команда WordPress виправила цю вразливість, застосовуючи екранування слэга теми до того, як він потрапляє до селектора jQuery, та обмеживши селектор лише справжніми картками тем. Компанія Patchstack, яка проаналізувала ланцюжок атак, зазначає, що облікові записи авторів та редакторів не можуть ініціювати цю уразливість, оскільки не мають прав на встановлення тем.

Чому це важливо

Багато малих та середніх компаній використовують WordPress для своїх публічних сайтів, а також часто — для клієнтських порталів чи інтернет-магазинів, які ніхто не перевіряє між випусками нових версій. Дві деталі роблять цю проблему вартим вашої уваги саме зараз: експлойт повністю оприлюднено, а для його запуску достатньо одного кліка адміністратора — саме тих людей, які найімовірніше натиснуть на посилання, що виглядає як запит до служби підтримки або повідомлення про плагін. Слабкими місцями є спільний хостинг та сайти, де адміністраторські облікові записи належать маркетинговому відділу.

Що робити

• Оновіть усі ваші інсталяції WordPress до версії 7.1.1, включаючи тестові середовища, архівні мікросайти та сайти клієнтів, які ви обслуговуєте. Спочатку проведіть інвентаризацію; забуті інсталяції зазвичай стають жертвами атак.
• Якщо оновлення неможливе сьогодні, встановіть DISALLOW_FILE_MODS у файлі wp-config.php. Patchstack зазначає, що на сайтах, де ця опція увімкнена, неможливо примусово встановити тему чи плагін. Вважайте це тимчасовим заходом.
• Зменшіть кількість облікових записів із роллю адміністратора та встановіть для тих, що залишилися, багатофакторну автентифікацію (MFA), стійку до фішингу. Редактори та автори не можуть запустити цей ланцюжок.
• Якщо сайт працював на версії 7.1.0 або раніше та є загальнодоступним, перед закриттям квитка перевірте наявність несподіваних тем, нових адміністраторів та нещодавніх змін у папці wp-content.