Click2Shell: krytyczna luka w WordPressie
Nowa luka Click2Shell pozwala wymusić instalację motywu i, w połączeniu z innym błędem, prowadzić do wykonania kodu na serwerze.
WordPress 7.1.1 łata Click2Shell
WordPress wydał aktualizację 7.1.1, która zamyka poważną podatność nazwaną Click2Shell. Problem jest na tyle istotny, że administratorzy serwisów opartych na tym CMS-ie powinni zainstalować poprawkę możliwie jak najszybciej.
Według opisu badaczy, luka pozwalała na uruchomienie łańcucha ataku prowadzącego od zwykłego kliknięcia w przygotowany link do zdalnego wykonania kodu na serwerze. W praktyce oznaczało to możliwość przejęcia kontroli nad stroną, jeśli udało się połączyć ten błąd z dodatkową podatnością w konkretnym motywie.
Na czym polegał problem
Sednem błędu było to, że WordPress i przeglądarka administratora inaczej interpretowały ten sam link. Z punktu widzenia zaplecza WordPressa specjalnie przygotowany adres mógł zostać odczytany jako zwykła nazwa motywu z oficjalnego katalogu, a po stronie przeglądarki ten sam ciąg trafiał do kodu JavaScript, który obsługiwał podgląd i instalację.
W efekcie złośliwy odnośnik mógł sprawić, że zalogowany administrator nieświadomie uruchomił instalację wybranego przez atakującego motywu. Co ważne, system nie wymagał od napastnika dodatkowych uprawnień ani znajomości tokenu CSRF — wystarczało, że ofiara była już zalogowana i otworzyła odpowiednio przygotowaną stronę.
Sam błąd nie dawał jeszcze pełnego przejęcia
Warto podkreślić, że sama podatność Click2Shell nie oznaczała automatycznie pełnego wykonania dowolnego kodu. W zainstalowanym motywie musiała istnieć jeszcze druga luka, którą można było połączyć z wymuszoną instalacją.
Badacze pokazali taki scenariusz na motywie, który zawierał niebezpieczny mechanizm pobierający z żądania URL, ściągający pakiet i uruchamiający jego zawartość bez właściwej weryfikacji uprawnień. Po połączeniu obu błędów możliwe było wykonanie kodu PHP na serwerze.
Jak duże było ryzyko
W ocenie odkrywców sam błąd wymuszający instalację motywu był wysokiego ryzyka i otrzymał wynik CVSS 7.1. Cały łańcuch prowadzący do wykonania kodu oceniono już jako krytyczny, z wynikiem CVSS 9.6.
WordPress opisał problem ostrożniej, wskazując jedynie, że specjalnie przygotowane adresy URL mogą automatycznie instalować i podglądać nieaktywny motyw z WordPress.org. Nie zmienia to faktu, że skutki podatności mogły być bardzo poważne.
Kogo dotyczy poprawka
Poprawka trafiła do WordPress 7.1.1 i obejmuje również wspierane gałęzie sięgające aż do 4.7.x. Z informacji wynika, że problem dotyczył wersji od 6.0 aż do wydań poprzedzających łatkę.
To oznacza, że:
- administratorzy powinni zaktualizować rdzeń WordPressa natychmiast,
- witryny z automatycznymi aktualizacjami dostaną poprawkę samodzielnie,
- nie ma podanego osobnego obejścia, które zastąpiłoby instalację aktualizacji.
Co warto zapamiętać
Atak wymagał, aby ofiara była zalogowanym administratorem i otworzyła spreparowany link w tej samej sesji przeglądarki. To zawęża scenariusz ataku, ale w środowiskach, gdzie administratorzy regularnie korzystają z panelu i testują różne linki, ryzyko nadal jest realne.
Nie ma też informacji, by luka była już wykorzystywana w masowych atakach. Mimo to, w przypadku podatności umożliwiających przejście od prostego kliknięcia do przejęcia serwera, zwłoka z aktualizacją zwykle działa na niekorzyść właściciela strony.
Wniosek jest prosty: jeśli utrzymujesz WordPressa, aktualizacja do 7.1.1 powinna być priorytetem.
