Hacker nutzen den WordPress-Plugin-Fehler aus, der die vollständige Kontrolle über Millionen von Websites ermöglicht

Hacker nutzen aktiv eine kritische Schwachstelle in einem weit verbreiteten WordPress-Plugin aus, das ihnen die Möglichkeit gibt, die vollständige Kontrolle über Millionen von Websites zu übernehmen, sagten Forscher.

Die Schwachstelle, die einen Schweregrad von 8,8 von 10 möglichen hat, ist in Elementor Pro vorhanden, einem Premium-Plug-in, das auf mehr als 12 Millionen Websites läuft, die vom Content-Management-System WordPress betrieben werden. Elementor Pro ermöglicht es Benutzern, hochwertige Websites mit einer Vielzahl von Tools zu erstellen, darunter WooCommerce, ein separates WordPress-Plugin. Wenn diese Bedingungen erfüllt sind, kann jeder mit einem Konto auf der Website – beispielsweise ein Abonnent oder Kunde – neue Konten erstellen, die über vollständige Administratorrechte verfügen.

Die Schwachstelle wurde von Jerome Bruandet, einem Forscher der Sicherheitsfirma NinTechNet, entdeckt. Letzte Woche hat Elementor, der Entwickler des Elementor Pro-Plugins, die Version 3.11.7 veröffentlicht, die den Fehler behoben hat. In einem am Dienstag veröffentlichten Beitrag schrieb Brunandet:

Ein authentifizierter Angreifer kann die Schwachstelle ausnutzen, um ein Administratorkonto zu erstellen, indem er die Registrierung aktiviert (users_can_register) und Festlegen der Standardrolle (default_role) zu „Administrator“, ändern Sie die E-Mail-Adresse des Administrators (admin_email) oder leiten Sie, wie unten gezeigt, den gesamten Datenverkehr durch Ändern auf eine externe bösartige Website um siteurl unter vielen anderen Möglichkeiten:

MariaDB [example]> SELECT * FROM `wp_options` WHERE `option_name`='siteurl';
+-----------+-------------+------------------+----------+
| option_id | option_name | option_value     | autoload |
+-----------+-------------+------------------+----------+
|		 1 | siteurl     | https://evil.com | yes 	 |
+-----------+-------------+------------------+----------+
1 row in set (0.001 sec)

Jetzt berichten Forscher einer separaten Sicherheitsfirma, PatchStack, dass die Schwachstelle aktiv ausgenutzt wird. Angriffe kommen von einer Vielzahl von IP-Adressen, darunter:

• 193.169.194.63
• 193.169.195.64
• 194.135.30.6

Dateien, die auf kompromittierte Websites hochgeladen werden, haben oft die folgenden Namen:

• wp-resortpack.zip
• wp-rate.php
• lll.zip

URLs kompromittierter Websites werden häufig geändert in:

• weg[dot]Trackerlinie[dot]com

Die Schwachstelle bei der defekten Zugriffskontrolle ergibt sich aus der Verwendung der Komponente „elementor-pro/modules/woocommerce/module.php“ durch Elementor Pro. Wenn WooCommerce ausgeführt wird, registriert dieses Skript die folgenden AJAX-Aktionen:

/**
 * Register Ajax Actions.
 *
 * Registers ajax action used by the Editor js.
 *
 * @since 3.5.0
 *
 * @param Ajax $ajax
 */
public function register_ajax_actions( Ajax $ajax ) {
   // `woocommerce_update_page_option` is called in the editor save-show-modal.js.
   $ajax->register_ajax_action( 'pro_woocommerce_update_page_option', [ $this, 'update_page_option' ] );
   $ajax->register_ajax_action( 'pro_woocommerce_mock_notices', [ $this, 'woocommerce_mock_notices' ] );
}

Und

/**
 * Update Page Option.
 *
 * Ajax action can be used to update any WooCommerce option.
 *
 * @since 3.5.0
 *
 * @param array $data
 */
public function update_page_option( $data ) {
   update_option( $data['option_name'], $data['editor_post_id'] );
}

Die Funktion update_option „soll dem Administrator oder dem Shop-Manager ermöglichen, einige spezifische WooCommerce-Optionen zu aktualisieren, aber Benutzereingaben werden nicht validiert und der Funktion fehlt eine Fähigkeitsprüfung, um den Zugriff nur auf hochprivilegierte Benutzer zu beschränken“, erklärte Bruandet. Er machte weiter:

Elementor verwendet einen eigenen AJAX-Handler, um die meisten seiner AJAX-Aktionen zu verwalten, einschließlich pro_woocommerce_update_page_optionmit dem globalen elementor_ajax Aktion. Es befindet sich im Skript „elementor/core/common/modules/ajax/module.php“ der kostenlosen Version (die zum Ausführen von Elementor Pro erforderlich ist):

/**
 * Handle ajax request.
 *
 * Verify ajax nonce, and run all the registered actions for this request.
 *
 * Fired by `wp_ajax_elementor_ajax` action.
 *
 * @since 2.0.0
 * @access public
 */
public function handle_ajax_request() {
   if ( ! $this->verify_request_nonce() ) {
  	$this->add_response_data( false, esc_html__( 'Token Expired.', 'elementor' ) )
     	->send_error( Exceptions::UNAUTHORIZED );
   }
   ...

Jeder, der Elementor Pro verwendet, sollte sicherstellen, dass er 3.11.7 oder höher ausführt, da alle früheren Versionen anfällig sind. Es ist auch eine gute Idee für diese Benutzer, ihre Websites auf die im PatchStack-Beitrag aufgeführten Anzeichen einer Infektion zu überprüfen.