RIPS Technologies ha scoperto un problema che riguarda WordPress e il plugin di e-commerce WooCommerce, sviluppato da Automattic. Secondo le statistiche ufficiali, questa soluzione è stata scaricata più di quattro milioni di volte e conta pressappoco lo stesso numero di installazioni attive.
I ricercatori spiegano che i problemi in questo caso sono due. Il primo è che, quando il plugin viene installato su WordPress, che utilizza ruoli diversi per gli utenti, non crea un proprio sistema di autenticazione, ma si appoggia al sistema di privilegi già presente nel CMS. Per farlo, il plugin crea un nuovo ruolo con le nuove funzionalità di WordPress, poi limita la propria interazione con le impostazioni del CMS e con gli altri utenti tramite le proprie funzioni.
Così, durante l’installazione di WooCommerce viene creato un nuovo ruolo, Shop Manager («responsabile del negozio»), che dispone dei diritti edit_users. Questa autorizzazione consente all’utente di modificare i contenuti pubblicati e i profili di qualsiasi altro utente di WordPress, amministratore compreso.
Sembra che gli sviluppatori di WooCommerce abbiano previsto una funzione che impedisce agli utenti con questo ruolo di interferire con i profili degli amministratori. Tuttavia, a causa di un difetto nel funzionamento del sistema di gestione dei privilegi dei plugin, quando WooCommerce viene disattivato la funzione che limita i «gestori del negozio» smette di funzionare e gli utenti con questo ruolo possono modificare liberamente gli account degli altri utenti.
Di conseguenza, l’unico modo affidabile per disattivare il plugin è che l’amministratore lo disattivi ed elimini tutti i suoi file. Ed ecco il secondo problema.
Il fatto è che gli analisti di RIPS Technologies hanno scoperto un bug legato all’eliminazione dei file di WooCommerce nella versione 3.4.5 e precedenti. È emerso che gli utenti con i diritti di Shop Manager possono eliminare qualsiasi file del plugin, compresi quelli essenziali al suo funzionamento. In seguito, il plugin smetterà di funzionare in modo imprevedibile, WordPress lo disattiverà automaticamente e si tornerà alla situazione descritta in precedenza, in cui un utente con il ruolo di gestore del negozio può modificare i profili di qualsiasi utente.
I ricercatori spiegano che, in una situazione del genere, l’attaccante non avrà difficoltà a impossessarsi dell’account amministratore e, di conseguenza, a controllare l’intero sito. Il video qui sotto illustra una combinazione dei due problemi del caso.
Gli esperti sottolineano che, per sfruttare con successo questo sistema, un attaccante deve avere accesso a un account con il ruolo di responsabile del negozio. Tuttavia, secondo i ricercatori, ciò è realizzabile grazie a vulnerabilità XSS o ad attacchi di phishing.
Gli sviluppatori di WooCommerce hanno già risolto il problema pubblicando una nuova versione del plugin (3.4.6). Poiché l’aggiornamento automatico dei plugin non è affatto attivo, gli esperti consigliano agli utenti di verificare la disponibilità di aggiornamenti e di assicurarsi di utilizzare le ultime versioni di WooCommerce.
