Jeśli posiadasz witrynę e-commerce zbudowaną na WordPress i używasz wtyczki WooCommerce, strzeż się nowej luki, która może zagrozić Twojemu sklepowi internetowemu.
Simon Scannell, badacz z RIPS Technologies GmbH, odkrył lukę w usuwaniu niepożądanych plików w popularnej wtyczce WooCommerce, która umożliwia uzyskanie pełnej kontroli nad niezałatanymi stronami.
WooCommerce to jedna z najpopularniejszych wtyczek eCommerce w WordPress, która pomaga stronom internetowym ulepszyć standardowy blog do potężnego sklepu internetowego. WooCommerce obsługuje prawie 35% e-sklepów w Internecie, z ponad 4 milionami instalacji.
Atak przedstawiony na poniższym filmie wykorzystuje sposób, w jaki WordPress radzi sobie z przywilejami użytkownika i luką w usuwaniu plików WooCommerce, dzięki czemu konto z rolą “Shop Manager” może ostatecznie zresetować hasło konta administratora i przejąć pełną kontrolę nad witryną.
Po zainstalowaniu rozszerzenie WooCommerce tworzy konta “Kierowników sklepów” z funkcją umożliwiającą edycję kont klientów sklepu w celu zarządzania ich zamówieniami, profilami i produktami. W WordPress konto z opcją “edit_users” domyślnie pozwala nawet na edycję konta administratora i resetowanie hasła.
https://www.youtube.com/watch?v=lpItKmjoe0I
Jednak badacz odkrył, że jeśli administrator WordPress z jakiegoś powodu wyłącza wtyczkę WooCommerce, jej konfiguracja zniknie, pozwalając kontom Shop Manager na edycję i resetowanie hasła dla kont administratora.
I w tym momencie złośliwy Shop Manager może wymusić wyłączenie wtyczki WooCommerce poprzez wykorzystanie luki w usuwaniu plików, która znajduje się w funkcji WooCommerce.
“Ta luka umożliwia menedżerom sklepu usunięcie dowolnego pliku na serwerze, który jest zapisywalny. Usunięcie głównego pliku WooCommerce, woocommerce.php spowoduje że WordPress nie będzie w stanie załadować wtyczki, a następnie ją wyłączy”
Po usunięciu pliku wtyczka WooCommerce zostaje wyłączona, co pozwala menedżerom sklepu zaktualizować hasło do konta administratora, a następnie przejąć całą witrynę.
Naukowiec odpowiedzialnie zgłosił problemy bezpieczeństwa do zespołu ds. Bezpieczeństwa, który zarządza wtyczką WooCommerce 30 sierpnia 2018 r. Zespół potwierdził wady i naprawił je w zeszłym miesiącu w Woocommerce w wersji 3.4.6.
Jeśli nie zaktualizowałeś jeszcze swojego WordPressa i Woocommerce, zaleca się jak najszybsze zainstalowanie najnowszych dostępnych aktualizacji zabezpieczeń.
Thursday, November 8, 2018
