Waarschuwing! Kwetsbaarheid van WordPress-plug-in bedreigt miljoenen pagina's
Het is weer die tijd van de maand, wanneer er weer een nieuwe kwetsbaarheid voor WordPress-plug-ins opduikt, bijna als een uurwerk. Deze keer betreft de kwetsbaarheid de plug-in UpdraftPlus, die is geïnstalleerd op ongeveer 3 miljoen websites waarop het publicatieplatform wordt uitgevoerd.
Bevoorrechte toegang tot back-ups
Het probleem werd ontdekt door beveiligingsonderzoeker Marc Montpas en werd later in een gedetailleerde post onderzocht door Wordfence - een team dat gespecialiseerd is in WordPress-beveiliging. De fout in UpdraftPlus is gecodificeerd onder het handvat CVE 2022-0633 en kreeg een ernstclassificatie van 8,5 of Hoog.
Door het beveiligingslek kon elke actieve en succesvol ingelogde gebruiker op elke WordPress-website waarop UpdraftPlus draait, bestaande siteback-ups downloaden - iets dat alleen mogelijk zou moeten zijn met verhoogde privileges, zoals die van beheerders.
De mogelijkheid om gewoon de volledige back-upgegevens te pakken, kan leiden tot allerlei problemen op de weg, variërend van diefstal van inloggegevens tot toegang tot gevoelige en bevoorrechte informatie.
Wordfence legde uit dat als een potentiële slechte acteur een specifiek op maat gemaakte hartslag naar de site zou sturen, ze dan toegang zouden krijgen tot een "back-uplogboek met een back-up nonce en tijdstempel". Alle drie samen kunnen worden gebruikt om de back-up van de website in bulk te downloaden.
Populaire plug-ins bieden een groot aanvalsoppervlak
De kwetsbaarheid is lang niet zo verschrikkelijk als het lijkt, want als deze actie wordt uitgevoerd door een externe kwaadwillende, moet de hacker nog steeds regelmatig toegang hebben tot de WordPress-platforminstantie voor de site. Het zou echter voldoende zijn om een set gecompromitteerde inloggegevens te hebben om dit te doen. Onderzoekers denken dat dit wordt gecompenseerd door het feit dat UpdraftPlus erg populair is en op ongeveer 3 miljoen websites is geïnstalleerd.
Alleen al in januari 2022 zijn er verschillende zeer ernstige bugs ontdekt in WordPress-plug-ins, waaronder een met een ernstclassificatie van 10. Het probleem met plug-infouten is dat veel van de getroffen plug-ins op grote schaal worden gebruikt, vergelijkbaar met UpdraftPlus, wat leidt tot een zeer groot potentieel aanvalsoppervlak toegankelijk voor potentiële dreigingsactoren.