Et WordPress-plugin kaldet 'ThemeGrill Demo Importer' udsatte 200.000 websteder for hackere

Content Management Systems (CMS) som WordPress har fuldstændigt transformeret processen med at oprette og vedligeholde et websted. Lige nu kan det være så let at oprette et websted som at opsætte en WordPress-installation og tilføje noget indhold. De mennesker, der engang skrev hele websteder fra bunden, opretter nu CMS-temaer og plugins, der hjælper dig med at finpusse og tilpasse dit helt eget websted med ikke mere end et par museklik. Det er meget mere praktisk og, endnu vigtigere, ganske lidt billigere end det tidligere var. Der er dog en afvejning.

De mennesker, der skriver temaer og plugins til platforme som WordPress, laver fejl hver nu og igen, og når de gør det, påvirker fejlene ikke kun et websted. En enkelt fejl kan forårsage problemer på tusinder af websteder, og hvis problemet er sikkerhedsrelateret, kan konsekvenserne være temmelig ødelæggende. En nyligt opdaget sårbarhed i ThemeGrill Demo Importer-pluginet til WordPress viste os, hvor dårlige ting kunne være.

ThemeGrill efterlod en fejl, der kunne have gjort det muligt for hackere at udslette hele websteder

ThemeGrill udvikler premium-temaer til WordPress, og det tilbyder også et plugin kaldet ThemeGrill Demo Importer, som lader administratorer nemt importere temaer og indstillinger direkte til deres websteder. Hvis du har et WordPress-baseret websted, og hvis du bruger ThemeGrill Demo Importer, skal du sørge for, at plugin opdateres til sin seneste version. Forskere fra WebARX opdagede, at alle inkarnationer af plugin mellem ThemeGrill Demo Importer 1.3.4 og ThemeGrill Demo Importer 1.6.1 er påvirket af en kritisk sikkerhedssårbarhed, der kan lade hackere udføre fuldstændig ødelæggelse.

Problemet ligger i en funktion kaldet reset_wizard_actions, som indlæses, når plugin registrerer et aktivt ThemeGrill-tema. Funktionen kobles til admin_init, som normalt kun kører i et admin-miljø. Det kan også foretage opkald til /wp-admin/admin-ajax.php, selv om, og forskerne opdaget, at når interagere med denne fil, betyder reset_wizard_actions ikke kontrollere, om en bruger er godkendt.

Ved hjælp af omhyggeligt udformede nyttelast kan hackere enten udslette alt indholdet på et sårbart websted, eller de kan påtage sig administrative rettigheder og gøre mere eller mindre hvad de vil med det.

ThemeGrill lappet pluginet

WebARX-rapport viser, at det ikke var den glateste oplevelse at afsløre problemet og hjælpe med at løse det, men vi skal understrege, at vi har set langt værre. Forskerne sendte deres første rapport den 6. februar. Efter at de ikke havde modtaget nogen svar i fem dage, forsøgte de at komme i kontakt med ThemeGrill igen. Den 14. februar svarede udvikleren endelig, og inden for to dage blev en ny version, der løser problemet, frigivet.

Det faktum, at sårbarheden er rettet, er gode nyheder, men det er kun halvdelen af historien. ThemeGrill Demo Importer 1.3.4, den version, der introducerede fejlen, blev frigivet for et uheld for tre år siden, og hvert eneste websted, der brugte plugin mellem dengang og søndagen, da patch'en blev frigivet, er blevet udsat. Selvom der ikke er bevis for udnyttelse i naturen, bruger mange af de 200.000 websteder, der har ThemeGrill Demo Importer installeret på dem stadig sårbare versioner af plugin, hvilket betyder, at vi snart kunne se ofre for sårbarheden.

Det er her det store problem ligger. Ifølge W3Techs har WordPress mere end 35% af alle websteder rundt om i verden. Der er et helt økosystem, der understøtter CMS, og millioner af mennesker bruger det, fordi det er så let som vedligeholdelse af et websted med det. Desværre har erfaringerne lært os, at sikkerhedsopdateringer og programrettelser ikke er særlig høje på mange af disse menneskers prioriteringslister. Hvis internettet skal blive et mere sikkert sted, skal dette ændre sig.