A RIPS Technologies hibát fedezett fel a WordPressben és az Automattic által fejlesztett WooCommerce e-kereskedelmi bővítményben . A hivatalos statisztikák szerint ezt a megoldást több mint négymilliószor töltötték le, és nagyjából ugyanennyi aktív telepítéssel rendelkezik.
A kutatók szerint két probléma áll fenn. Az első az, hogy ha a bővítményt a különböző felhasználói szerepköröket használó WordPressre telepítik, az nem hoz létre saját hitelesítési rendszert, hanem a CMS meglévő jogosultságkezelését használja. Ennek érdekében a bővítmény új szerepkört hoz létre a WordPress új funkcióival, majd saját függvényein keresztül korlátozza a CMS beállításaival és más felhasználókkal való interakcióját.
A WooCommerce telepítésekor így létrejön egy új Shop Manager („üzletkezelő”) szerepkör, amely rendelkezik az edit_users jogosultsággal. Ez az engedély lehetővé teszi a felhasználó számára, hogy szerkessze a bejegyzéseket, valamint a WordPress bármely más felhasználójának profilját, beleértve az adminisztrátorét is.
Úgy tűnik, hogy a WooCommerce fejlesztői beépítettek egy funkciót, amely megakadályozza, hogy az ilyen szerepkörű felhasználók beavatkozzanak az adminisztrátorok profiljaiba. A bővítmények jogosultságkezelő rendszerének működési hibája miatt azonban a WooCommerce kikapcsolásakor az „üzletkezelők” korlátozása megszűnik, és az ilyen szerepkörű felhasználók szabadon módosíthatják más felhasználók fiókjait.
Ezért a bővítmény kikapcsolásának egyetlen megbízható módja, ha az adminisztrátor deaktiválja, majd törli az összes fájlját. És itt jön a második probléma.
A helyzet az, hogy a RIPS Technologies elemzői hibát találtak a WooCommerce 3.4.5-ös és régebbi verzióinak fájltörlésével kapcsolatban. Kiderült, hogy a Shop Manager jogosultságú felhasználók bármely bővítményfájlt törölhetnek, beleértve azokat is, amelyek elengedhetetlenek a működéséhez. Ezt követően a bővítmény kiszámíthatóan leáll, a WordPress automatikusan kikapcsolja, és a helyzet visszatér a fentiekhez, amikor az üzletkezelő szerepkörű felhasználó bármely felhasználó profilját módosíthatja.
A kutatók szerint ilyen helyzetben a támadónak nem okoz nehézséget az adminisztrátori fiók megszerzése, és így az egész webhely feletti irányításé. Az alábbi videó a két probléma kombinációját szemlélteti.
A szakértők hangsúlyozzák, hogy a rendszer sikeres kihasználásához a támadónak hozzá kell férnie egy üzletkezelő szerepkörű fiókhoz. A kutatók szerint azonban ez XSS-sebezhetőségeken vagy adathalász támadásokon keresztül megvalósítható.
A WooCommerce fejlesztői a bővítmény új verziójának (3.4.6) kiadásával már megszüntették a problémát. Mivel a bővítmények automatikus frissítése egyáltalán nincs bekapcsolva, a szakértők azt javasolják a felhasználóknak, hogy keressenek frissítéseket, és győződjenek meg arról, hogy a WooCommerce legújabb verzióival dolgoznak.
