Jeśli na Twojej stronie działa WPLP Cookie Consent, tym razem nie warto odkładać aktualizacji do najbliższego wolnego popołudnia. Wordfence ujawnił krytyczną lukę w popularnym pluginie do banerów cookies i zarządzania zgodami. Błąd pozwala osobie bez konta i bez logowania wysłać na serwer dowolny plik. W określonych warunkach może to skończyć się wykonaniem własnego kodu na serwerze, czyli przejęciem kontroli nad stroną.

Co dokładnie jest nie tak

Problem dotyczy WPLP Cookie Consent do wersji 4.4.1 włącznie. Plugin służy do wyświetlania banerów cookies, blokowania skryptów marketingowych przed uzyskaniem zgody i obsługi mechanizmów takich jak Google Consent Mode. Według katalogu WordPress.org ma ponad 10 tysięcy aktywnych instalacji.

Luka składa się z dwóch problemów, które razem tworzą bardzo nieprzyjemny zestaw. Jeden z endpointów REST pluginu, czyli adresów używanych przez aplikację do wykonywania konkretnych operacji, można wywołać bez prawidłowego sprawdzenia uprawnień. Drugi błąd polega na braku odpowiedniej kontroli typu przesyłanego pliku przy funkcji odpowiadającej za wgrywanie logo.

WebsiteGarage / Usługi

Sprawdź nasze usługi.

W praktyce napastnik nie musi znać hasła administratora ani posiadać żadnego konta. Może spróbować wykorzystać publicznie dostępny mechanizm pluginu do wysłania na serwer pliku, którego normalnie nie powinien móc tam umieścić. Jeżeli serwer później potraktuje taki plik jako wykonywalny kod, atak może przejść od zwykłego uploadu do zdalnego wykonania kodu.

To nie jest tylko teoretyczna podatność

Najważniejszy fakt w tym przypadku nie brzmi “CVSS 9.8”. Dla właściciela strony dużo ważniejsze jest to, że Wordfence widzi już realne próby wykorzystania luki. Firma podała, że jej zapora zablokowała 147 ataków celujących w tę podatność w ciągu ostatnich 24 godzin.

To nadal nie oznacza, że 147 stron zostało przejętych. Liczba dotyczy prób zablokowanych przez Wordfence, a nie potwierdzonych infekcji. Pokazuje jednak, że ktoś już aktywnie szuka podatnych instalacji. Różnica między “badacz znalazł błąd” a “ruch atakujący już leci po sieci” jest tutaj zasadnicza.

Jest poprawka i wiadomo, co zrobić

Podatne są wersje do 4.4.1 włącznie. Wordfence wskazuje wersję 4.4.2 jako poprawioną. Ta wersja jest już dostępna w oficjalnym katalogu WordPressa. Changelog producenta opisuje w niej wzmocnioną walidację i poprawki bezpieczeństwa w kodzie.

Jeśli korzystasz z WPLP Cookie Consent, sprawdź numer wersji i zaktualizuj plugin do 4.4.2 lub nowszej. Jeżeli stroną opiekuje się zewnętrzna firma, wystarczy wysłać jej nazwę pluginu i poprosić o potwierdzenie wersji oraz aktualizacji. Przy stronie, która przez jakiś czas działała na podatnej wersji, rozsądne jest również sprawdzenie, czy na serwerze nie pojawiły się nowe, nieoczekiwane pliki i czy logi nie pokazują podejrzanych wywołań endpointu odpowiedzialnego za upload.

Dlaczego luka w pluginie od cookies jest szczególnie przewrotna

Baner cookies kojarzy się zwykle z prawem, zgodami i niezbyt ekscytującym prostokątem zasłaniającym pół ekranu. Tymczasem technicznie taki plugin często ma szeroki dostęp do ustawień strony, skryptów, integracji i własnych endpointów komunikacyjnych. Jeśli jeden z takich mechanizmów pozwala przesłać plik bez sprawdzenia użytkownika i typu pliku, “plugin od zgód” nagle staje się wejściem na serwer.

Komentarz WebsiteGarage

To jest dokładnie ten rodzaj podatności, który zasługuje na osobny alert, mimo że nie robimy newsa z każdego CVE WordPressa. Nie dlatego, że ma wysoką cyferkę w skali ryzyka. Powód jest prostszy: atak nie wymaga logowania, może prowadzić do wykonania kodu, a próby wykorzystania już są widoczne w realnym ruchu. W takim układzie “zaktualizuję przy okazji” jest słabą strategią. Dobra wiadomość jest za to bardzo praktyczna: poprawka istnieje i aktualizacja jest dostępna.

Źródła