In questo articolo Indice dei contenuti 2 sezioni
WordPress ha rilasciato un aggiornamento urgente per chiudere una vulnerabilità critica che, in presenza di determinate condizioni, può portare all’esecuzione di codice da remoto su un server esposto. La nuova versione 7.1.2 del celebre CMS è stata pubblicata il 22 settembre e interviene su una falla valutata 9,2 su 10 secondo lo standard CVSS 4.0. Il problema riguarda il meccanismo con cui la piattaforma sceglie i modelli di pagina e consente a un attaccante non autenticato di far includere un file PHP locale leggibile dal server. In alcune configurazioni questa catena può sfociare in una vera e propria esecuzione di codice remoto, quella che gli addetti ai lavori chiamano RCE.
A individuare la falla è stato il ricercatore di sicurezza Robert Ressl, che l’ha segnalata agli sviluppatori attraverso HackerOne. La sua analisi, diffusa solo dopo la disponibilità della correzione, descrive i requisiti necessari per sfruttare la debolezza e include una prova di concetto realizzata in laboratorio. Ressl chiarisce però di non aver mai testato la catena di attacco su siti in produzione.
Un’inclusione di file PHP senza bisogno di credenziali
Il cuore del problema si trova nella funzione getpagetemplate(), che la piattaforma usa per stabilire quale modello PHP debba mostrare una determinata pagina. Secondo il ricercatore alcuni dati provenienti dalla richiesta possono, dopo vari passaggi di elaborazione e decodifica, servire a costruire un percorso che esce dalla cartella normalmente riservata ai modelli del tema. Per arrivare a questa funzionalità non serve un account, né una sessione attiva o un token di autenticazione.
Questo non significa che ogni installazione di WordPress sia automaticamente attaccabile. Servono infatti diverse condizioni lato tema e lato server. Il tema attivo deve avere una struttura di cartelle che permetta di percorrere quella specifica via di risoluzione dei modelli. Inoltre deve esserci un file PHP leggibile dall’account del server web, indispensabile per trasformare la semplice inclusione locale in esecuzione di codice. Nel suo laboratorio Ressl ha sfruttato pearcmd.php, un componente di PEAR presente in alcuni ambienti PHP ma non sempre installato sui server che ospitano il CMS. I test sono stati condotti su WordPress 7.0.2 in ambienti isolati e il codice girava con i permessi dell’account del server web, non con privilegi di amministratore del sistema. Lo stesso ricercatore ammette che il suo lavoro non consente di stimare quanti siti siano davvero esposti.
Correzione estesa fino a WordPress 4.7 e primi attacchi già in corso
La patch non riguarda soltanto l’ultima release. Gli sviluppatori l’hanno portata anche sui rami più vecchi ancora supportati dagli aggiornamenti di sicurezza, con versioni corrette che vanno dalla 4.7.37 fino alla 7.1.2. WordPress 4.6 e le edizioni precedenti invece non ricevono più correzioni. L’intervento va oltre il singolo percorso di attacco individuato perché aggiunge un controllo che verifica che i modelli risolti restino dentro le cartelle autorizzate. Le modifiche toccano in particolare il file template.php. Il 23 settembre il CERT francese ha pubblicato un avviso dedicato, classificando il rischio come esecuzione di codice arbitrario da remoto e raccomandando di applicare subito gli aggiornamenti.
E i malintenzionati non hanno perso tempo. Secondo Patchstack i primi tentativi di sfruttamento sono comparsi poche ore dopo la pubblicazione dell’aggiornamento. Alcune sequenze di attacco cercavano prima di capire se sul server fossero presenti i requisiti necessari, per poi provare a scrivere file PHP sulle macchine vulnerabili. Per questo WordPress invita gli amministratori a installare immediatamente la versione 7.1.2 oppure la correzione relativa al ramo in uso, sfruttando gli aggiornamenti automatici dove disponibili. Ressl suggerisce anche di controllare le impostazioni PHP e i file accessibili all’account del server web, misure che possono ridurre alcune vie di attacco ma che non sostituiscono in alcun modo l’installazione della patch ufficiale.
Fonte: TecnoAndroid
