RIPS Technologies heeft een probleem ontdekt in WordPress en in de e-commerceplug-in WooCommerce, ontwikkeld door Automattic. Volgens de officiële statistieken is deze oplossing meer dan vier miljoen keer gedownload en telt ze ongeveer evenveel actieve installaties.
De onderzoekers leggen uit dat er hier twee problemen zijn. Het eerste probleem is dat wanneer de plug-in wordt geïnstalleerd voor WordPress, dat verschillende rollen voor gebruikers gebruikt, deze geen eigen authenticatiesysteem creëert, maar het bestaande CMS-privilegesysteem gebruikt. Hiervoor maakt de plug-in een nieuwe rol aan met de nieuwe functies van WordPress en beperkt vervolgens via zijn eigen functies de interactie met de CMS-instellingen en de andere gebruikers.
Bij de installatie van WooCommerce wordt dus een nieuwe rol aangemaakt voor Shop Manager («store manager»), die beschikt over de rechten edit_users. Met deze autorisatie kan de gebruiker berichten wijzigen, evenals de profielen van elke andere WordPress-gebruiker, inclusief die van de beheerder.
Het lijkt erop dat de ontwikkelaars van WooCommerce een functie hebben voorzien die voorkomt dat gebruikers met deze rol zich bemoeien met de profielen van beheerders. Maar door een fout in de werking van het privilegebeheersysteem van plug-ins, stopt de beperkingsfunctie voor de «winkelbeheerders» met werken wanneer WooCommerce wordt uitgeschakeld, en kunnen gebruikers met deze rol de accounts van andere gebruikers vrij wijzigen.
Daarom is de enige betrouwbare manier om de plug-in uit te schakelen, deze door de beheerder te deactiveren en al zijn bestanden te verwijderen. En dan is er het tweede probleem.
Feit is dat de analisten van RIPS Technologies een bug hebben ontdekt die verband houdt met het verwijderen van WooCommerce-bestanden vanaf versie 3.4.5 en lager. Het bleek dat gebruikers met de rechten van Shop Manager elk bestand van de plug-in kunnen verwijderen, inclusief bestanden die essentieel zijn voor de werking ervan. Vervolgens zal de plug-in zich niet langer voorspelbaar gedragen, zal WordPress hem automatisch deactiveren en keert de situatie terug naar die van voorheen, waarin een gebruiker met de rol van winkelbeheerder de profielen van elke gebruiker kan wijzigen.
De onderzoekers leggen uit dat aanvallers in zo’n situatie geen moeite zullen hebben om het beheerdersaccount over te nemen en dus de volledige site te controleren. De onderstaande video illustreert een combinatie van de twee problemen in deze zaak.
Experts benadrukken dat een aanvaller, om dit systeem met succes te kunnen gebruiken, toegang moet hebben tot een account met de rol van winkelmanager. Volgens de onderzoekers is dit echter haalbaar via XSS-kwetsbaarheden of phishingaanvallen.
De ontwikkelaars van WooCommerce hebben het probleem al verholpen door een nieuwe versie van de plugin uit te brengen (3.4.6). Aangezien automatische updates van plug-ins helemaal niet zijn inbegrepen, raden experts gebruikers aan om naar updates te zoeken en ervoor te zorgen dat ze werken met de nieuwste versies van WooCommerce.
