Un billet de la société de la société RipsTech attire l'attention sur l'existence d'une vulnérabilité de WordPress, toutes versions du CMS confondues, jusqu'à la version en cours 4.9.6.

Cette vulnérabilité a été découverte avec l'outil d'analyse de code RIPS, édité par RipsTech, qui se fait un peu de publicité pour l'occasion :-)

La vulnérabilité découverte a été signalée à l'équipe de WordPress, qui jusqu'ici n'a pas jugée utile de la corriger. Ce qui a décidé RipsTech à la rendre publique, indique le billet.

Le billet donne les détails techniques de la vulnérabilité. En résumé, du code dans includes/post.php, faute de désinfecter les paramètres passés à la fonction PHP unlink, permet à un attaquant d'effacer n'importe quel fichier moyennant deux conditions :

- l'attaquant a des droits simples dans le WordPress attaqué, comme le droit de supprimer un fichier multimédia.

- le processus PHP qui fait tourner le WordPress a les droits système nécessaires pour supprimer le fichier visé.

Comment en arrive-t-on à une exécution de code arbitraire à distance ? Par le fait qu'un attaquant peut supprimer le fichier wp-config.php. Une suppression qui déclenche le processus d'installation du CMS à la visite suivante. Démonstration dans la vidéo ci-dessous. A ce moment l'attaquant peut suivre le processus d'installation, et au cours du processus s'accorder les droits administrateur. Avec cette élévation de privilège, il pourra ensuite exécuter un code arbitraire au sein du CMS attaqué.

En attendant que l'équipe WordPress comble cette vulnérabilité, le billet propose un correctif très simple, qui consiste à hooker la fonction wp_update_attachment_metadata afin d'assainir les paramètres passés à la fonction PHP unlink par la fonction WordPress wp_delete_attachment.