В WordPress молча устранена критическая уязвимость
В опубликованном 26 января корректирующем обновлении WordPress 4.7.2 без лишней огласки была устранена критическая уязвимость, позволяющая удаленному атакующему без аутентификации изменить содержимое любой страницы через манипуляцию с REST API. Разработчики WordPress пояснили отсутствие упоминания об исправлении уязвимости в анонсе новой версии тем, что они лишь придержали публикацию уведомления, желая дождаться пока будет установлено обновление.
Проблема проявляется только в выпусках WordPress 4.7 и 4.7.1, более ранние версии не подвержены проблеме, даже при включении плагина REST API. REST API был по умолчанию включен начиная с ветки 4.7 и предоставлял альтернативный способ манипуляции с настойками, комментариями и публикациями. Уязвимость была обнаружена 20 января исследователями из компании Sucuri в процессе реализации инициативы по аудиту открытых проектов. Разработчики WordPress оперативно выпустили обновление и при участии сетей доставки контента Incapsula, Cloudflare и SiteLock убедились, что в трафике не встречаются попытки эксплуатации данной уязвимости, после чего решили на несколько дней придержать сообщение о проблеме.
Уязвимость вызвана особенностью обработки некоторых значений в REST API, в частности, передаваемые через $_GET и $_POST параметры имели более высокий приоритет в обработке, чем параметры, закодированные внутри пути. Воспользовавшись данной особенностью атакующий мог передать запрос с идентификатором, включающим не только цифры, но и буквы, и обойти таким образом проверки на наличие полномочий для выполнения операции.
Например, вместо штатного запроса "/wp-json/wp/v2/posts/1234" можно отправить "/wp-json/wp/v2/posts/1234?id=12345helloworld" и так как значение парамера "?id=" имело более высокий приоритет, чем идентификатор в пути "/1234". При проверке прав доступа используется неизменное значение "12345helloworld", но перед вызовом функции get_post осуществляется приведение переменной к целому типу (т. е. запрос "12345helloworld" признается валидным и передается в метод update_item в форме "12345"). Отмечается, что в зависимости от используемых плагинов уязвимость может привести не только к подстановке своего содержимого на странице, но и к выполнению произвольного PHP-кода на сервере.
