RIPS Technologies objevila problém ve WordPressu a v e-commerce pluginu WooCommerce od společnosti Automattic. Podle oficiálních statistik byl tento plugin stažen více než čtyři miliony krát a má zhruba stejný počet aktivních instalací.
Výzkumníci vysvětlují, že jde o dva problémy. Prvním problémem je, že když se plugin nainstaluje do WordPressu, který pro uživatele používá různé role, nevytvoří si vlastní systém autentizace, ale využije stávající systém oprávnění CMS. Plugin za tímto účelem vytvoří novou roli s novými funkcemi WordPressu a poté prostřednictvím vlastních funkcí omezí její interakci s nastavením CMS a s ostatními uživateli.
Při instalaci WooCommerce se tak vytvoří nová role Shop Manager („správce obchodu“), která má práva edit_users. Toto oprávnění umožňuje uživateli upravovat příspěvky i profily jakéhokoli jiného uživatele WordPressu, včetně administrátora.
Zdá se, že vývojáři WooCommerce zajistili funkci, která uživatelům s touto rolí brání zasahovat do profilů administrátorů. Kvůli chybě ve fungování systému správy oprávnění pluginů však po deaktivaci WooCommerce přestane omezení pro „správce obchodu“ fungovat a uživatelé s touto rolí mohou libovolně upravovat účty ostatních uživatelů.
Jediným spolehlivým způsobem, jak plugin vypnout, je proto jeho deaktivace administrátorem a smazání všech jeho souborů. A tady přichází druhý problém.
Analytici RIPS Technologies totiž objevili chybu související s mazáním souborů WooCommerce ve verzi 3.4.5 a nižších. Ukázalo se, že uživatelé s právy Shop Manager mohou smazat libovolný soubor pluginu, včetně těch, které jsou pro jeho fungování klíčové. Plugin pak přestane předvídatelně fungovat, WordPress ho automaticky deaktivuje a situace se vrátí k výše popsané: uživatel s rolí správce obchodu může upravovat profily kteréhokoli uživatele.
Výzkumníci vysvětlují, že v takové situaci nebude pro útočníka problém převzít účet administrátora, a tím i získat kontrolu nad celým webem. Video níže ukazuje kombinaci obou problémů v tomto případě.
Odborníci upozorňují, že aby útočník mohl tento postup úspěšně použít, musí mít přístup k účtu s rolí správce obchodu. Podle výzkumníků je to však možné díky zranitelnostem XSS nebo phishingovým útokům.
Vývojáři WooCommerce již problém odstranili vydáním nové verze pluginu (3.4.6). Protože automatická aktualizace pluginů není vůbec zahrnuta, experti uživatelům doporučují vyhledat aktualizace a ujistit se, že používají nejnovější verze WooCommerce.
