Click2Shell в WordPress позволяет принудительно установить тему

Click2Shell позволяет через специально сформированный URL принудительно установить и просмотреть тему с WordPress.org, если аутентифицированный администратор перейдёт по ссылке. Учётная запись атакующему не требуется, но для эксплуатации нужно взаимодействие администратора. Уязвимость в ядре WordPress исправлена в версии 7.1.1, обновления также выпущены для более старых поддерживаемых веток. Подтверждённых свидетельств активного использования Click2Shell в реальных атаках нет.

Как работает Click2Shell

Дефект связан с непоследовательной обработкой параметра темы, полученного из URL. API тем санитизирует это значение и преобразует его в разрешённый идентификатор темы, а JavaScript в административной части использует исходное значение в селекторе jQuery. В результате стандартное поведение предпросмотра темы перенаправляется к функции её установки.

Сама по себе Click2Shell позволяет принудительно устанавливать и просматривать только темы, доступные через WordPress.org. Уязвимость не даёт прямого доступа к загрузке произвольных архивов тем или выполнению кода. Удалённое выполнение кода может произойти при использовании Click2Shell вместе с уязвимой темой или другим компонентом.

Исследователи продемонстрировали такую цепочку на примере Mobile Repair Zone 2.5.4. PHP-код неактивной темы выполнился во время предпросмотра в Customizer. Тема содержала неавторизованный обработчик AJAX без надлежащих проверок полномочий и валидации nonce, что позволяло выполнять произвольный PHP-код.

По данным исследователей, аналогичные уязвимости могут содержаться более чем в 40 других сторонних темах. Отдельная уязвимость получила оценку CVSS 7.1, а полная цепочка эксплуатации, CVSS 9.3. Публичные технические детали и образец концепции демонстрируют сценарий принудительной установки темы и сценарий цепочки выполнения PHP. При этом не каждый затронутый сайт обязательно уязвим к удалённому выполнению кода.

Что рекомендуют проверять защитникам

Авторы отчёта рекомендуют обновить ядро WordPress и проверить установленные темы на наличие уязвимостей. При расследовании следует обратить внимание на:

• неожиданные установки или предпросмотры тем;
• запросы, связанные с wp-admin/theme-install.php;
• активность Customizer;
• обращения к admin-ajax.php, связанные с неактивными темами;
• изменённые файлы PHP в каталогах wp-content/themes или wp-content/plugins;
• подозрительные загрузки плагинов или записи файлов;
• изменения учётных записей администраторов;
• необычные исходящие соединения.

Эти события следует сопоставлять с телеметрией веб-сервера, WAF, EDR и хостинга.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.