Se você não atualizou o seu website para a versão mais recente do WordPress 5.0.3, é uma boa ideia atualizar o CMS agora.
Investigadores da RIPS Technologies GmbH revelaram a existência de uma vulnerabilidade crítica de execução remota de código (RCE) que afeta todas as versões do WordPress nos últimos 6 anos.
O ataque de execução remota de código, descoberto e reportado à equipa de segurança do WordPress no final do ano passado, pode ser explorado por um invasor com poucos privilégios e pelo menos uma conta de “autor” usando uma combinação de duas vulnerabilidades separadas —Path Traversal and Local File Inclusion.
O requisito de pelo menos uma conta de autor reduz a gravidade desta vulnerabilidade até certo ponto. No entanto, criminosos poderão através de ataques de engenharia social, p.ex., phishing ou spear-phishing tentar obter credências de acesso a páginas do WordPress.
Ataques de credential stuffing utilizando leaks de bases de dados são também um possível vetor de ataque.
“An attacker who gains access to an account with at least author privileges on a target WordPress site can execute arbitrary PHP code on the underlying server, leading to a full remote takeover,” Scannell says.
De acordo com Simon Scannell, investigador da RIPS Technologies GmbH, o ataque tira proveito do modo como o sistema de gestão de imagens do WordPress lida com entradas de Post Meta usadas para armazenar descrição, tamanho, criador e outras informações meta de imagens carregadas.
Scannel descobriu que qualquer utilizador com uma conta de autor pode alterar entradas associadas a cada imagem definindo valores arbritrários que poderão levar a uma vulnerabilidade Path Traversal.
“The idea is to set _wp_attached_file to evil.jpg?shell.php, which would lead to an HTTP request being made to the following URL: https://targetserver.com/wp-content/uploads/evil.jpg?shell.php,” Scannell explains.
And, “it is still possible to plant the resulting image into any directory by using a payload such as evil.jpg?/../../evil.jpg.”
A falha de Path Traversal combinada com uma falha de Local File Inclusion no diretório “temas” poderia permitir que o invasor executasse código arbitrário no servidor target.
De acordo com Scannell, o ataque de execução de código foi corrigida nas versões 5.0.1 e 4.9.9 do WordPress
No entanto, a falha Path Traversal ainda não foi corrigida, mesmo na versão mais recente do WordPress, e pode ser explorada se qualquer plug-in de terceiros instalado e que permita manipular incorretamente as entradas Post Meta.
Scannell confirmou que a próxima versão do WordPress incluirá uma correção para resolver completamente o problema reportado.