Vulnérabilité d’escalade de privilèges critique non corrigée dans le plug-in Ultimate Member activement exploité

Aujourd’hui, le 29 juin 2023, l’équipe Wordfence Threat Intelligence a pris connaissance d’une vulnérabilité d’escalade de privilèges non corrigée activement exploitée dans Membre ultimeun plugin WordPress installé sur plus de 200 000 sites, grâce à notre surveillance du journal des modifications de vulnérabilité que nous effectuons pour garantir la Base de données de vulnérabilité Wordfence Intelligence dispose des informations les plus récentes et les plus précises. Après une enquête plus approfondie, nous avons découvert que cette vulnérabilité est activement exploitée et qu’elle n’a pas été correctement corrigée dans la dernière version disponible, qui est la 2.6.6 au moment de la rédaction de cet article.

Une fois que nous avons déterminé la cause profonde, nous avons publié une règle de pare-feu pour aider à protéger notre Wordfence Premium, Soins des motset Réponse Wordfence clients. Les utilisateurs gratuits de Wordfence recevront la même protection dans 30 jours le 29 juillet 2023. Comme la dernière version du plugin, 2.6.6, n’est pas entièrement corrigée, nous vous recommandons de désinstaller le plugin jusqu’à ce qu’un correctif complet soit publié.

Résumé des vulnérabilités de Wordfence Intelligence

Le plug-in Ultimate Member pour WordPress est vulnérable à l’escalade de privilèges dans les versions jusqu’à la version 2.6.6 incluse. Cela est dû au fait que le plugin utilise une liste prédéfinie de méta-clés utilisateur qui sont interdites et qui peuvent être contournées via quelques méthodes comme l’ajout de barres obliques à la méta-clé utilisateur. Cela permet à des attaquants non authentifiés de s’enregistrer sur un site en tant qu’administrateur.

Mécanisme vulnérable

Ultimate Member est un plugin conçu pour faciliter l’enregistrement et la gestion des comptes sur les sites WordPress. L’une des fonctionnalités est un formulaire d’inscription que les utilisateurs peuvent utiliser pour créer un compte sur un site WordPress exécutant le plugin. Malheureusement, ce formulaire permet aux utilisateurs de s’inscrire et de définir des méta-valeurs utilisateur arbitraires pour leur compte.

Bien que le plug-in ait une liste prédéfinie de clés interdites, qu’un utilisateur ne devrait pas pouvoir mettre à jour, il existe des moyens triviaux de contourner les filtres mis en place, tels que l’utilisation de divers cas, barres obliques et codage de caractères dans une valeur de clé méta fournie dans versions vulnérables du plugin.

Cela permet aux attaquants de définir le wp_capabilities la méta-valeur de l’utilisateur, qui contrôle le rôle de l’utilisateur sur le site, à ‘administrateur’. Cela accorde à l’attaquant un accès complet au site vulnérable lorsqu’il est exploité avec succès.

Indicateurs de compromis

Bien que nos données d’attaque soient limitées à ce stade, nous avons les indicateurs de compromis suivants provenant d’une règle de pare-feu préexistante distincte qui a fourni une couverture partielle pour cette vulnérabilité. Nous vous recommandons d’exécuter une analyse complète des logiciels malveillants Wordfence pour vous assurer que votre site n’est pas compromis si vous utilisez Ultimate Member, et de garder un œil sur les indicateurs de compromis suivants.

• La chose la plus importante à vérifier est les nouveaux comptes d’utilisateurs créés avec des privilèges d’administrateur.
  • Nous voyons les noms d’utilisateur suivants dans nos données d’attaque :
    • wpenginer
    • wpadmins
    • wpengine_backup
    • se_brutal
    • segs_brutal
• Accédez aux entrées du journal indiquant que les attaquants accèdent à la page d’inscription Ultimate Member d’un site compromis, qui est définie sur le chemin /register par défaut.
• Recherchez les adresses IP suivantes dans les journaux d’accès d’un site ou dans le flux de trafic en direct du plug-in Wordfence.
  • 146.70.189.245
  • 103.187.5.128
  • 103.30.11.160
  • 103.30.11.146
  • 172.70.147.176
• Le domaine suivant a été associé aux adresses e-mail des comptes d’utilisateurs.
• Vérifiez les plugins et les thèmes qui n’ont peut-être pas été installés auparavant.

Si votre site a été compromis par cet exploit, nous proposons des services professionnels de nettoyage de site via Soins des motsavec Réponse Wordfence offrant un délai d’exécution accéléré. Alternativement, si vous êtes à l’aise avec cela nous fournissons des instructions sur la façon de nettoyer votre site en utilisant le plugin gratuit Wordfence.

Conclusion

Dans le message d’intérêt public d’aujourd’hui, nous avons couvert une vulnérabilité d’escalade de privilèges de gravité critique dans Ultimate Member qui est activement exploitée. La vulnérabilité reste non corrigée et peut rapidement permettre aux utilisateurs non authentifiés de prendre automatiquement en charge n’importe quel site avec le plugin installé. Cela signifie que les 200 000 installations sont actuellement menacées. Nous vous recommandons de vérifier que ce plugin n’est pas installé sur votre site jusqu’à ce qu’un correctif soit disponible, et de transmettre cet avis à toute personne que vous connaissez qui gère un site Web WordPress.

Alors que la règle de pare-feu que nous avons publiée aujourd’hui devrait protéger Wordfence Premium, Soins des motset Réponse Wordfence utilisateurs de la prise de contrôle du site, le plug-in Ultimate Member contient des fonctionnalités supplémentaires qu’il est impossible de bloquer et qui pourraient potentiellement être exploitées par un attaquant sophistiqué en combinaison avec des vulnérabilités dans d’autres logiciels. En tant que tel, nous vous recommandons de désinstaller le plug-in même si vous êtes protégé par notre règle de pare-feu, car il minimise mais n’élimine pas complètement le risque présenté par cette vulnérabilité.

Pour les chercheurs en sécurité qui cherchent à divulguer des vulnérabilités de manière responsable et à obtenir un ID CVE, vous pouvez soumettez vos découvertes à Wordfence Intelligence et potentiellement gagner une place sur notre classement.

Un merci spécial à Ramuel Gall, chercheur principal en sécurité de Wordfence, et à István Márton, chercheur en vulnérabilité de Wordfence, pour leur aide à l’ingénierie inverse de cette vulnérabilité et pour leur contribution à ce message !