RIPS Technologies on löytänyt ongelman, joka koskee WordPressiä ja Automatticin kehittämää WooCommerce-verkkokauppalisäosaa. Virallisten tilastojen mukaan ratkaisua on ladattu yli neljä miljoonaa kertaa, ja aktiivisia asennuksia on suunnilleen yhtä paljon.
Tutkijoiden mukaan ongelmia on kaksi. Ensimmäinen ongelma on se, että kun lisäosa asennetaan WordPressiin, joka käyttää käyttäjille eri rooleja, se ei luo omaa todennusjärjestelmäänsä, vaan hyödyntää sisällönhallintajärjestelmän olemassa olevaa oikeuksien hallintaa. Tätä varten lisäosa luo uuden roolin uusine WordPress-toimintoineen ja rajoittaa sitten omilla toiminnoillaan sen vuorovaikutusta sisällönhallintajärjestelmän asetusten ja muiden käyttäjien kanssa.
Näin WooCommercea asennettaessa luodaan uusi Shop Manager -rooli («kaupan ylläpitäjä»), jolla on edit_users-oikeudet. Tämän oikeuden avulla käyttäjä voi muokata julkaisuja sekä minkä tahansa muun WordPress-käyttäjän, myös ylläpitäjän, profiilia.
WooCommercen kehittäjät näyttävät toteuttaneen toiminnon, joka estää tämän roolin käyttäjiä sekaantumasta ylläpitäjien profiileihin. Lisäosien oikeudenhallintajärjestelmän toimintavirheen vuoksi «kaupan ylläpitäjien» rajoitustoiminto kuitenkin lakkaa toimimasta, kun WooCommerce poistetaan käytöstä, ja tämän roolin käyttäjät voivat muokata vapaasti muiden käyttäjien tilejä.
Siksi ainoa luotettava tapa poistaa lisäosa käytöstä on, että ylläpitäjä deaktivoi sen ja poistaa kaikki sen tiedostot. Tästä seuraa toinen ongelma.
RIPS Technologiesin analyytikot nimittäin löysivät virheen, joka liittyy WooCommercen tiedostojen poistamiseen versiossa 3.4.5 ja sitä vanhemmissa versioissa. Kävi ilmi, että Shop Manager -oikeuksilla varustetut käyttäjät voivat poistaa mitä tahansa lisäosan tiedostoja, myös sen toiminnan kannalta olennaisia. Tämän jälkeen lisäosa lakkaa toimimasta ennustettavasti, WordPress poistaa sen automaattisesti käytöstä, ja tilanne palaa edellä kuvattuun: kaupan ylläpitäjän roolissa oleva käyttäjä voi muokata minkä tahansa käyttäjän profiilia.
Tutkijoiden mukaan tällaisessa tilanteessa hyökkääjä pystyy vaivatta kaappaamaan ylläpitäjän tilin ja siten hallitsemaan koko sivustoa. Alla oleva video havainnollistaa molempien ongelmien yhdistelmää.
Asiantuntijat korostavat, että hyödyntääkseen tätä järjestelmää onnistuneesti hyökkääjällä on oltava pääsy tiliin, jolla on kaupan ylläpitäjän rooli. Tutkijoiden mukaan tämä on kuitenkin mahdollista XSS-haavoittuvuuksien tai tietojenkalasteluhyökkäysten avulla.
WooCommercen kehittäjät ovat jo korjanneet ongelman julkaisemalla lisäosasta uuden version (3.4.6). Koska lisäosien automaattiset päivitykset eivät ole lainkaan käytössä, asiantuntijat suosittelevat käyttäjiä tarkistamaan päivitykset ja varmistamaan, että käytössä on WooCommercen uusimmat versiot.
