Im WordPress-Plugin UpdraftPlus, das über 3 Millionen aktive Installationen hat, wurde eine gefährliche Schwachstelle (CVE-2022-0633) entdeckt, die es einem externen Benutzer ermöglicht, eine Kopie der Datenbank der Website herunterzuladen, in der neben dem Inhalt auch die Parameter aller Benutzer und die Passwort-Hashes enthalten sind. Das Problem wurde in den Versionen 1.22.3 und 2.22.3 behoben, die allen Benutzern von UpdraftPlus so schnell wie möglich empfohlen werden.
UpdraftPlus wird als das beliebteste Plugin zur Erstellung von Backups für auf der WordPress-Plattform betriebenen Websites beworben. Aufgrund einer fehlerhaften Überprüfung der Zugriffsrechte erlaubte das Plugin, eine Sicherungskopie der Website und die zugehörige Datenbank nicht nur von Administratoren, sondern auch von jedem registrierten Benutzer der Website herunterzuladen, der beispielsweise den Status eines Abonnenten hatte.
Zum Herunterladen von Sicherungskopien in UpdraftPlus wird eine ID verwendet, die auf der Grundlage der Erstellungszeit der Sicherungskopie und einer Zufallssequenz (Nonce) generiert wird. Das Problem ist, dass aufgrund fehlender ordnungsgemäßer Überprüfungen im Handler für Heartbeat-Anfragen von WordPress, ein speziell gestalteter Anfrage jeder Benutzer Informationen über die letzte Sicherungskopie erhalten kann, die unter anderem Angaben zur Zeit und zur zugehörigen Zufallssequenz enthält.
Basierend auf den erhaltenen Informationen kann eine ID erstellt und ein Backup hochgeladen werden, indem die E-Mail-Download-Methode verwendet wird. Die bei dieser Methode verwendete Funktion maybe_download_backup_from_email erfordert den Zugriff auf die Seite options-general.php, die nur für Administratoren zugänglich ist. Dennoch kann ein Angreifer diese Einschränkung durch das Spoofing der verwendeten $pagenow-Variablen umgehen und eine Anfrage über die Dienstseite senden, die den Zugriff für nicht privilegierte Benutzer erlaubt. Zum Beispiel kann man über die Seite zur Nachrichtensendung an den Administrator zugreifen, indem man eine Anfrage in Form von "wp-admin/admin-post.php//wp-admin/options-general.php?page=updraftplus" sendet.
Quelle: opennet.ru
