Araştırmacıların Click2Shell adını verdiği yeni bir WordPress çekirdeği açığının teknik ayrıntıları ve kavram kanıtı kodu yayımlandı. Açık, saldırganın doğrudan kimlik doğrulamasına ihtiyaç duymadan bir istismar zinciri aracılığıyla sunucuda uzaktan PHP kodu çalıştırmasına olanak tanıyor. WordPress, geçen hafta yayımlanan 7.1.1 sürümünde açığı giderdi; ancak kavram kanıtı istismarının yayımlanması, etkilenen sitelerin güncellenmesini daha acil hâle getiriyor.
Zincir nasıl çalışıyor?
Penetrasyon testi platformu pwn.ai'dan araştırmacı Paulos Yibelo açığı keşfetti ve 22 Ağustos'ta WordPress'e bildirdi. Rapora göre, bir tema önizleme bağlantısından alınan değer WordPress.org'daki Themes API aracılığıyla bir kez yorumlanıyor, ardından yöneticinin tarayıcısındaki JavaScript tarafından güvenli olmayan bir şekilde işleniyor.
Bu durum, yöneticinin temayı açıkça yüklemesine gerek kalmadan resmi dizindeki bir temanın siteye eklenmesine olanak tanıyor. Tema etkin olmasa bile içindeki PHP kodu Customizer aracında önizleme sırasında çalışabiliyor. Saldırıyı tamamlamak için saldırgan özel olarak hazırlanmış bir bağlantı gönderiyor; ancak bu bağlantının siteye oturum açmış bir yönetici tarafından ziyaret edilmesi gerekiyor.
İstismardan sonra ne olabilir?
Araştırmacılar, saldırganın belirlediği PHP kodunu çalıştırmak için zincirin ikinci bölümü olarak güvenlik açığı bulunan bir tema kullandı. Tam rapor, dosyaları değiştirme veya silme, kullanıcı verilerine ve veritabanı kimlik bilgileri ile kimlik doğrulama sırlarını içeren wp-config.php dosyasına erişme de dâhil olmak üzere sunucuda komut çalıştırmanın mümkün olduğunu belirtiyor.
Bu durum kötü amaçlı yönetici hesapları oluşturulmasına veya siteye zararlı betikler enjekte edilmesine olanak tanıyabilir. Araştırmacıya göre WordPress Core 7.1.0 ve önceki sürümlerindeki temel açık, siteyi WordPress.org dizininde bulunan başka herhangi bir güvenlik açığı bulunan temayı yüklemeye zorlamak için de kullanılabilir.
Gerekli yetkiye kim sahip?
Saldırganın bir WordPress hesabına, yükleme için nonce değerine veya kendisine ait özel yönetici izinlerine ihtiyacı yok. Ancak Click2Shell zinciri yalnızca istek gönderilerek çalışmıyor; oturum açmış bir yöneticinin bağlantıyla etkileşime geçmesi gerekiyor. WordPress güvenlik şirketi Patchstack, Author ve Editor hesaplarının tema yüklemek için gerekli izinlere sahip olmadığını belirtti.
Bağlantı, hedefli kimlik avı yoluyla veya tarayıcısının isteği göndermesine neden olan önceden mevcut bir XSS açığı üzerinden yöneticiye ulaşabilir. Bu nedenle yönetici etkileşimi koşulu açığın ciddiyetini ortadan kaldırmıyor; ancak saldırı senaryosunu belirliyor ve açığı tamamen otomatik bir uzaktan istismar hâline getirmiyor.
Uygulamada ne değişiyor?
WordPress, jQuery seçicisinde kullanılmadan önce tema adını kaçışlayarak ve seçiciyi gerçek tema kartlarıyla sınırlayarak sorunu giderdi. Patchstack, özellikle tüm ayrıntıların ve kavram kanıtı kodunun yayımlanmasının ardından 7.1.1 veya daha yeni bir sürüme güncelleme yapılmasını öneriyor.
Hemen güncelleme yapılamayan siteler için Patchstack, DISALLOW_FILE_MODS ayarının etkinleştirilmesinin sitenin temayı veya kötü amaçlı bir eklentiyi yüklemeye zorlanmasını engellediğini belirtiyor. Bu, WordPress çekirdeğini güncellemenin ve beklenmeyen değişiklikleri veya yönetici hesaplarını denetlemenin yerine geçmeyen geçici bir azaltma önlemidir.