WordPress 7.1.1 behebt Click2Shell-Schwachstelle zum erzwungenen Theme-Install

WordPress hat eine Schwachstelle behoben, die seine Entdecker Click2Shell nennen, und liefert die Reparatur als Version 7.1.1 am 17. September zusammen mit weiteren Korrekturen am Kern eines der am weitesten verbreiteten Website-Publishing-Systeme aus. Die Schwachstelle ermöglicht es, dass ein speziell gestalteter Weblink, der von einem bereits angemeldeten Administrator geöffnet wird, ein Theme aus dem offiziellen WordPress.org-Verzeichnis installiert, ohne dass jemals jemand die Schaltfläche „Installieren“ drückt. Die Sicherheitsfirma pwn.ai, deren Forscher das Problem gemeldet haben, nannte die Angriffskette Click2Shell. Da es sich um ein Sicherheits-Release handelt, empfiehlt WordPress Website-Betreibern, sofort zu aktualisieren, und bisher gibt es keine Anzeichen dafür, dass die Schwachstelle in echten Angriffen ausgenutzt wurde.

Die Schwachstelle funktioniert, weil zwei Teile von WordPress denselben Link unterschiedlich lesen. Das WordPress.org-Verzeichnis behandelt den im Link enthaltenen Wert als gewöhnlichen Theme-Namen und liefert ein echtes, existierendes Theme zurück. Der Browser des Administrators hingegen verwendet den ursprünglichen Text dieses Links, samt Satzzeichen, in Code wieder, der dazu gedacht ist, ein bestimmtes Element auf der Seite auszuwählen. Zeichen, die der Angreifer dem Link hinzufügt, lenken diesen Code auf die Schaltfläche „Installieren“, und WordPress' eigenes Skript klickt für ihn auf die Schaltfläche. Nichts wird gefälscht und kein Passwort geknackt: Da der Administrator bereits angemeldet ist, liefert seine bestehende Sitzung sowohl die Berechtigung als auch das Sicherheits-Token, das die Installation erfordert, sodass der Angreifer keines von beiden bereitstellen muss.

Die Installation eines Themes allein ist ein begrenztes Ergebnis, und pwn.ai sagt das ausdrücklich. Das installierte Theme ist ein echtes aus dem Verzeichnis, vom Angreifer ausgewählt, aber nicht beliebig. Wie die Firma über den Kernfehler allein schrieb: „Der Kernfehler akzeptiert nicht von sich aus ein beliebiges Theme-ZIP.“ Die Forscher zeigten dann, wie die Schwachstelle mit einer zweiten, separaten Schwäche in einem Theme kombiniert werden konnte, um Codeausführung zu erreichen, was bedeutet, dass das eigene Programm des Angreifers auf dem Server der Website läuft. Ein installiertes Theme ist nicht immer untätig: Wenn WordPress eine Vorschau im Customizer-Tool erstellt, dem Teil des Dashboards, mit dem ein Administrator Änderungen sehen kann, bevor sie live gehen, kann es den PHP-Code eines Themes laden, die Programmieranweisungen, in denen das Theme geschrieben ist, noch bevor das Theme aktiviert wird. Das von pwn.ai verwendete Theme, Mobile Repair Zone, enthielt eine zweite Schwachstelle, einen Hintergrund-Handler, der eine aus der Anfrage entnommene Webadresse abrief, ein Paket herunterlud und dessen Code ausführte, ohne Prüfung der Berechtigung des Besuchers und ohne Sicherheits-Token. Verkettet nach der erzwungenen Installation führte dieser Handler den Code des Angreifers auf dem Server aus. Da das installierte Theme ausgeschaltet bleibt, ändert sich das Aussehen der Website selbst nicht und auf den ersten Blick sieht nichts falsch aus.

pwn.ai bewertete die Schwachstelle zur erzwungenen Installation allein als hohe Schwere, mit einem CVSS-Score von 7.1. CVSS ist eine Standardskala von 0 bis 10 dafür, wie schwerwiegend eine Sicherheitslücke ist, und 7.1 fällt in den hohen Bereich. Die Forscher bewerteten die vollständige Kette bis zur Codeausführung als kritisch, mit 9.6. WordPress hat keine eigene Schweregradbewertung veröffentlicht und beschrieb das Problem in seiner Veröffentlichung enger: „Speziell gestaltete URLs können automatisch ein inaktives Theme von WordPress.org installieren und in der Vorschau anzeigen.“ Es wurde noch keine CVE-Kennung vergeben. Eine CVE ist eine eindeutige öffentliche Referenznummer, die einer bekannten Schwachstelle zugewiesen wird, damit alle über dieselbe sprechen, und pwn.ai sagt, dass WordPress plant, eine hinzuzufügen.

Die Korrektur ist in WordPress 7.1.1 enthalten, Teil eines Sicherheits-Releases, dessen Reparaturen unterstützte Zweige bis zurück zu Version 4.7 erreichen. Die Versionshinweise bestätigen die Schwachstelle von Version 6.0 bis zu den Releases unmittelbar vor der Korrektur. Website-Betreiber sollten 7.1.1 installieren, oder das passende Update für den Zweig, den sie betreiben, und Websites, die auf automatische Aktualisierung eingestellt sind, erhalten es von selbst. Wenn ein Update nicht sofort angewendet werden kann, ist es gut zu wissen, dass weder WordPress noch pwn.ai einen separaten Workaround angeboten haben und dass der Angriff immer noch erfordert, dass ein angemeldeter Administrator den Link des Angreifers überhaupt öffnet. Das Aktualisieren des WordPress-Kerns schließt den demonstrierten Angriff, unabhängig davon, welches Theme eine Website verwendet.

Für Teams, die Kern-Releases lieber nicht von Hand verfolgen möchten, betreibt AEU Hosting Managed WordPress Hosting, bei dem die Plattform als Teil des Dienstes aktuell gehalten wird, was der Schritt ist, der diese Schwachstelle für eine Website schließt.

Click2Shell ist nicht die erste WordPress-Kernschwachstelle, die pwn.ai in den letzten Wochen gemeldet hat. Im August behob WordPress eine ähnliche Schwachstelle, die die Firma im Anmeldebildschirm fand, die die Forscher ebenfalls bis zur Codeausführung verketteten, und auch dort beschrieb WordPress das Risiko in engeren Begriffen als die Forscher. Eine andere WordPress-Kernschwachstelle, die im Juli offengelegt wurde und wp2shell genannt wird, steht nicht mit der Arbeit von pwn.ai in Verbindung. Diese erfordert weder Anmeldung noch Klick des Opfers, und die US-Cybersicherheitsbehörde CISA hat sie als in echten Angriffen ausgenutzt aufgeführt. Click2Shell wurde das nicht, was der Hauptgrund dafür ist, dass die vernünftige Reaktion hier zeitnahes Patchen statt Notfallbereinigung ist. Die sicherste Position für jede Website bleibt ein aktueller Kern, eine kurze Liste von Themes und Add-ons, die tatsächlich verwendet werden, und Administratoren, die es besser wissen, als unerwarteten Links zu folgen, während sie angemeldet sind.