WordPress 7.1.1 corregge la falla Click2Shell che installa temi con la forza

WordPress ha corretto una falla che i suoi scopritori chiamano Click2Shell, distribuendo la riparazione come versione 7.1.1 il 17 settembre insieme ad altre correzioni al core di uno dei sistemi di pubblicazione per siti web più usati al mondo. La falla permette a un link web creato ad arte, aperto da un amministratore già connesso, di installare un tema dal catalogo ufficiale WordPress.org senza che nessuno prema mai il pulsante Installa. L'azienda di sicurezza pwn.ai, i cui ricercatori hanno segnalato il problema, ha chiamato la catena di attacco Click2Shell. Trattandosi di una release di sicurezza, WordPress consiglia ai proprietari dei siti di aggiornare subito, e finora non c'è alcun segno che la falla sia stata usata in attacchi reali.

La falla funziona perché due parti di WordPress leggono lo stesso link in modo diverso. Il catalogo WordPress.org tratta il valore contenuto nel link come un normale nome di tema e restituisce un tema reale ed esistente. Il browser dell'amministratore, invece, riutilizza il testo originale di quel link, punteggiatura compresa, dentro il codice che serve a individuare un particolare elemento della pagina. I caratteri che l'attaccante aggiunge al link indirizzano quel codice verso il pulsante Installa, e lo script di WordPress stesso preme il pulsante al posto suo. Non viene falsificato nulla e non viene decifrata alcuna password: poiché l'amministratore è già connesso, la sua sessione esistente fornisce sia il permesso sia il token di sicurezza richiesti dall'installazione, quindi l'attaccante non deve fornire né l'uno né l'altro.

Installare un tema da solo è un risultato limitato, e pwn.ai lo dice chiaramente. Il tema che viene installato è un tema autentico del catalogo, scelto dall'attaccante ma non arbitrario. Come ha scritto l'azienda riguardo al solo bug del core: "Il bug del core da solo non accetta un file ZIP di tema arbitrario." I ricercatori hanno poi mostrato come la falla potesse essere combinata con una seconda debolezza separata in un tema per arrivare all'esecuzione di codice, cioè all'esecuzione del programma dell'attaccante sul server del sito. Un tema installato non è sempre inattivo: quando WordPress costruisce un'anteprima dentro il suo strumento Customizer, la parte del pannello di amministrazione che permette a un amministratore di vedere le modifiche prima che vadano online, può caricare il codice PHP di un tema, le istruzioni di programmazione con cui il tema è scritto, ancora prima che il tema sia attivato. Il tema usato da pwn.ai, Mobile Repair Zone, conteneva una seconda falla, un gestore in background che recuperava un indirizzo web preso dalla richiesta, scaricava un pacchetto e ne eseguiva il codice, senza alcun controllo sul permesso del visitatore e senza token di sicurezza. Concatenato dopo l'installazione forzata, quel gestore eseguiva il codice dell'attaccante sul server. Poiché il tema installato resta disattivato, l'aspetto del sito non cambia e nulla sembra sbagliato a colpo d'occhio.

pwn.ai ha valutato la falla dell'installazione forzata da sola come gravità alta, con un punteggio CVSS di 7.1. CVSS è una scala standard da 0 a 10 per quanto è grave una falla di sicurezza, e 7.1 rientra nella fascia alta. I ricercatori hanno valutato l'intera catena fino all'esecuzione di codice come critica, a 9.6. WordPress non ha pubblicato una propria valutazione di gravità e nella sua release ha descritto il problema in modo più ristretto: "URL creati ad arte possono installare e visualizzare automaticamente in anteprima un tema inattivo da WordPress.org." Non è ancora stato assegnato alcun identificatore CVE. Un CVE è un numero di riferimento pubblico e univoco assegnato a una falla nota, così che tutti parlino della stessa, e pwn.ai dice che WordPress prevede di aggiungerne uno.

La correzione è presente in WordPress 7.1.1, parte di una release di sicurezza le cui riparazioni arrivano ai rami supportati fino alla versione 4.7. Le note di rilascio confermano la falla dalla versione 6.0 fino alle release immediatamente precedenti alla correzione. I proprietari dei siti dovrebbero installare la 7.1.1, o l'aggiornamento corrispondente per il ramo che usano, e i siti impostati per l'aggiornamento automatico la riceveranno da soli. Se non è possibile applicare subito un aggiornamento, vale la pena sapere che né WordPress né pwn.ai hanno offerto una soluzione alternativa separata, e che l'attacco richiede comunque che un amministratore connesso apra il link dell'attaccante. Aggiornare il core di WordPress chiude l'attacco dimostrato qualunque tema usi un sito.

Per i team che preferiscono non seguire a mano le release del core, AEU Hosting offre un hosting WordPress gestito in cui la piattaforma viene mantenuta aggiornata come parte del servizio, che è il passo che chiude questa falla per un sito.

Click2Shell non è la prima falla del core di WordPress segnalata da pwn.ai nelle ultime settimane. Ad agosto WordPress ha corretto una falla simile trovata dall'azienda nella schermata di login, che i ricercatori hanno anch'essa concatenato all'esecuzione di codice, e anche in quel caso WordPress ha descritto il rischio in termini più ristretti rispetto ai ricercatori. Una diversa falla del core di WordPress divulgata a luglio, chiamata wp2shell, non è collegata al lavoro di pwn.ai. Quella non richiede né login né clic da parte della vittima, e l'agenzia statunitense per la cybersecurity CISA l'ha elencata come sfruttata in attacchi reali. Click2Shell no, ed è il motivo principale per cui la risposta sensata qui è una correzione tempestiva anziché una bonifica d'emergenza. La posizione più sicura per qualsiasi sito resta un core aggiornato, una lista breve di temi e componenti aggiuntivi effettivamente in uso, e amministratori che sanno bene di non seguire link inattesi mentre sono connessi.