RIPS Technologies hat eine Schwachstelle in WordPress und im E-Commerce-Plug-in WooCommerce von Automattic entdeckt. Laut offiziellen Statistiken wurde diese Lösung über vier Millionen Mal heruntergeladen und verfügt über annähernd ebenso viele aktive Installationen.
Die Forscher erklären, dass es hier zwei Probleme gibt. Das erste Problem besteht darin, dass das Plug-in bei der Installation in WordPress, das verschiedene Rollen für Benutzer verwendet, kein eigenes Authentifizierungssystem erstellt, sondern das bestehende Berechtigungssystem des CMS nutzt. Dazu legt das Plug-in eine neue Rolle mit den neuen Funktionen von WordPress an und beschränkt anschließend deren Interaktion mit den CMS-Einstellungen und anderen Benutzern über eigene Funktionen.
Bei der Installation von WooCommerce wird also eine neue Rolle für den Shop Manager („store manager“) erstellt, die über die Berechtigung edit_users verfügt. Diese Berechtigung erlaubt es dem Benutzer, Beiträge sowie die Profile aller anderen WordPress-Benutzer zu bearbeiten, einschließlich des Administrators.
Offenbar haben die Entwickler von WooCommerce eine Funktion bereitgestellt, die verhindert, dass Benutzer mit dieser Rolle in die Profile der Administratoren eingreifen. Aufgrund eines Fehlers in der Funktionsweise des Berechtigungsverwaltungssystems der Plug-ins hört die Einschränkungsfunktion für „Shop Manager“ jedoch auf zu arbeiten, sobald WooCommerce deaktiviert wird, und Benutzer mit dieser Rolle können die Konten anderer Benutzer frei ändern.
Daher ist der einzig zuverlässige Weg, das Plug-in zu deaktivieren, es durch den Administrator zu deaktivieren und alle seine Dateien zu löschen. Und hier kommt das zweite Problem ins Spiel.
Tatsache ist, dass die Analysten von RIPS Technologies einen Fehler beim Löschen von WooCommerce-Dateien in Version 3.4.5 und älteren Versionen entdeckt haben. Es stellte sich heraus, dass Benutzer mit den Rechten eines Shop Managers beliebige Dateien des Plug-ins löschen können, auch solche, die für dessen Funktion unerlässlich sind. Anschließend wird das Plug-in nicht mehr zuverlässig funktionieren, WordPress deaktiviert es automatisch, und die Situation kehrt zum oben beschriebenen Zustand zurück, in dem ein Benutzer mit der Rolle des Shop Managers die Profile beliebiger Benutzer ändern kann.
Die Forscher erklären, dass der Angreifer in einer solchen Situation keine Schwierigkeiten haben wird, das Administratorkonto zu übernehmen und damit die gesamte Website zu kontrollieren. Das folgende Video veranschaulicht eine Kombination der beiden Probleme dieses Falls.
Experten betonen, dass ein Angreifer, um dieses System erfolgreich nutzen zu können, Zugriff auf ein Konto mit der Rolle des Shop Managers haben muss. Laut den Forschern ist dies jedoch über XSS-Schwachstellen oder Phishing-Angriffe möglich.
Die WooCommerce-Entwickler haben das Problem bereits behoben und eine neue Version des Plug-ins ( 3.4.6 ) veröffentlicht. Da die automatische Aktualisierung der Plug-ins nicht enthalten ist, empfehlen die Experten den Nutzern, nach Updates zu suchen und sicherzustellen, dass sie mit den neuesten Versionen von WooCommerce arbeiten.
