O WordPress lançou hoje correções para uma nova série de vulnerabilidades em seu software principal, uma das quais pode permitir que um link web (endereço elaborado) aberto por um administrador logado instale um tema do diretório oficial do WordPress.org sem que ninguém clique em "Instalar".
A empresa de segurança pwn.ai, cujos pesquisadores reportaram a falha, chama a cadeia de ataque de Click2Shell. Isoladamente, a falha apenas instala um tema real escolhido pelo atacante, mas a equipe de pesquisa mostrou que ela pode ser combinada com uma falha separada em um tema para executar o código do atacante no servidor.
A correção foi disponibilizada em 17 de setembro, no WordPress 7.1.1. Por se tratar de uma versão de segurança, o WordPress recomenda atualizar imediatamente. Não há indícios de que a falha tenha sido explorada em ataques reais.
O tema instalado permanece desativado, de modo que a aparência do site não muda e nada parece errado. Para chegar à execução de código, foi necessária uma segunda falha separada no tema que foi instalado. Como escreveu a pwn.ai sobre a falha principal isoladamente: "A falha no núcleo não aceita um arquivo ZIP (formato de arquivo compactado) de tema arbitrário por si só."
A falha funciona porque duas partes do WordPress interpretam o mesmo link de formas diferentes. O diretório do WordPress.org trata o valor contido no link como um nome comum de tema e devolve um tema real, mas o navegador do administrador reutiliza o texto original, com toda a pontuação, dentro de um código destinado a selecionar um item na página. Os caracteres que o atacante adiciona ao link enviam esse código para o botão "Instalar", e o próprio script do WordPress clica nele.
Como o administrador já está logado, sua sessão fornece a permissão e o token de segurança (código de validação) de que a instalação precisa, de modo que o atacante não precisa fornecer nenhum dos dois.
Um tema instalado nem sempre fica ocioso. Quando o WordPress cria uma pré-visualização em sua ferramenta de Personalização, ele pode carregar o código PHP (linguagem de programação usada no servidor) de um tema mesmo antes de ele ser ativado.
O tema usado pela pwn.ai, o Mobile Repair Zone, continha uma segunda falha: um manipulador em segundo plano que buscava um endereço web a partir da requisição, baixava um pacote e executava seu código, sem verificar a permissão do visitante nem um token de segurança. Encadeada após a instalação forçada, esse manipulador executou o código do atacante no servidor.
Os pesquisadores classificaram a falha da instalação forçada, isoladamente, como de alta severidade, com pontuação CVSS (Sistema de Pontuação de Vulnerabilidade Comum) de 7,1, e a cadeia completa até a execução de código como crítica, com 9,6. O WordPress não publicou uma classificação de severidade própria e, em sua nota de versão, descreveu o problema da seguinte forma: "URLs (endereços web) especialmente elaborados podem instalar e pré-visualizar automaticamente um tema inativo do WordPress.org." Nenhum identificador CVE (identificador público de vulnerabilidades conhecidas) foi atribuído ainda, embora a pwn.ai afirme que o WordPress pretende adicionar um.
O WordPress corrigiu a falha na versão 7.1.1, parte de uma versão de segurança cujas correções alcançam ramos suportados de volta até a 4.7. Suas notas confirmam a presença dessa falha desde a versão 6.0 até as versões imediatamente anteriores à correção. Os proprietários de sites devem instalar a 7.1.1, ou a atualização correspondente ao ramo que utilizam, e sites configurados para atualizar de forma automática a receberão por conta própria.
Caso não seja possível atualizar de imediato, vale observar que nem o WordPress nem a pwn.ai ofereceram uma alternativa de mitigação separada, e que o ataque ainda exige que um administrador logado abra o link do atacante. Atualizar o núcleo do WordPress fecha a cadeia de ataque demonstrada, independentemente do tema que o site utilize.
O Click2Shell não é a primeira falha no núcleo do WordPress descoberta pela empresa nas últimas semanas. Em agosto, o WordPress corrigiu uma falha semelhante, encontrada pela pwn.ai na tela de login e também encadeada até a execução de código, e também naquele caso o WordPress descreveu o risco de forma mais restrita do que os pesquisadores.
Uma falha diferente no núcleo do WordPress, divulgada em julho e chamada wp2shell, não está relacionada ao trabalho da pwn.ai. Essa falha não exige login nem clique, e a agência de cibersegurança dos EUA, a CISA (Agência de Cibersegurança e Infraestrutura dos Estados Unidos), já a listou como explorada em ataques reais, o que não ocorreu com a Click2Shell.
