Datenbankleck in dem WordPress-Plugin UpdraftPlus mit 3 Millionen Installationen

Im WordPress-Plugin UpdraftPlus, das über 3 Millionen aktive Installationen hat, wurde eine gefährliche Schwachstelle (CVE-2022-0633) entdeckt, die es einem externen Benutzer ermöglicht, eine Kopie der Datenbank der Website herunterzuladen, in der neben dem Inhalt auch die Parameter aller Benutzer und die Passwort-Hashes enthalten sind. Das Problem wurde in den Versionen 1.22.3 und 2.22.3 behoben, die allen Benutzern von UpdraftPlus so schnell wie möglich empfohlen werden.

UpdraftPlus wird als das beliebteste Plugin zur Erstellung von Backups für auf der WordPress-Plattform betriebenen Websites beworben. Aufgrund einer fehlerhaften Überprüfung der Zugriffsrechte erlaubte das Plugin, eine Sicherungskopie der Website und die zugehörige Datenbank nicht nur von Administratoren, sondern auch von jedem registrierten Benutzer der Website herunterzuladen, der beispielsweise den Status eines Abonnenten hatte.

Zum Herunterladen von Sicherungskopien in UpdraftPlus wird eine ID verwendet, die auf der Grundlage der Erstellungszeit der Sicherungskopie und einer Zufallssequenz (Nonce) generiert wird. Das Problem ist, dass aufgrund fehlender ordnungsgemäßer Überprüfungen im Handler für Heartbeat-Anfragen von WordPress, ein speziell gestalteter Anfrage jeder Benutzer Informationen über die letzte Sicherungskopie erhalten kann, die unter anderem Angaben zur Zeit und zur zugehörigen Zufallssequenz enthält.

Basierend auf den erhaltenen Informationen kann ein Identifier erstellt und eine Sicherungskopie durch die E-Mail-Download-Methode hochgeladen werden. Die bei dieser Methode verwendete Funktion maybe_download_backup_from_email erfordert einen Zugriff auf die Seite options-general.php, die nur für Administratoren zugänglich ist. Dennoch kann ein Angreifer diese Einschränkung durch Spoofing der zur Überprüfung verwendeten Variablen $pagenow umgehen und eine Anfrage über eine Dienstseite senden, die den Zugriff für nicht privilegierte Benutzer erlaubt. Beispielsweise kann die Anfrage über die Seite zum Senden einer Nachricht an den Administrator gesendet werden, indem die Anfrage in der Form «wp-admin/admin-post.php//wp-admin/options-general.php?page=updraftplus» gestellt wird.

Quelle: opennet.ru