Eine am 28. Oktober in Version 7.1.4 behobene WordPress-Schwachstelle löst laut Erkenntnissen von Defiant, über die SecurityWeek berichtete, Versuche aus, Code aus der Ferne ohne Website-Konto auszuführen. Die Ausnutzung hängt von einem kurzen Zeitfenster während eines vollständigen Core-Updates und mehreren Serverbedingungen ab. Wordfence hat keine erfolgreichen Kompromittierungen gemeldet.
WordPress 7.1.4 enthält die Korrektur, die außerdem bis einschließlich WordPress 4.7 in die älteren Release-Zweige zurückportiert wurde. Der Bericht nennt die einzelnen gepatchten Versionen dieser älteren Zweige nicht. Zum Zeitpunkt der Berichterstattung war noch keine CVE-Kennung vergeben.
Die Schwachstelle mit hohem Schweregrad betrifft temporäre Dateien, die während des Update-Prozesses verwendet werden. Defiant beschreibt sie als Race Condition: Angreifer müssen handeln, solange die Installationsdateien verfügbar sind, also bevor WordPress sie entfernt. Auf vielen Servern ist das Verzeichnis, in das ein Upgrade seine Dateien entpackt, über das Web erreichbar, und sein vorhersehbarer Speicherort bietet Angreifern einen Ansatzpunkt zum Sondieren.
Diese Exposition allein reicht jedoch nicht aus. Das Update muss ein vollständiges Paket mit Installationsdateien verwenden, und das Staging-Verzeichnis muss sowohl öffentlichen Webzugriff als auch PHP-Ausführung erlauben. Angreifer müssen außerdem seinen Speicherort vorhersagen oder ermitteln und den Angriff abschließen, bevor aufgeräumt wird. Das Zeitfenster dauert nur Sekunden, während WordPress das vollständige Core-Update entpackt. Defiant stuft die Angriffskomplexität trotz fehlender Authentifizierungsanforderung als hoch ein.
Laut Defiant fragen Angreifer die relevanten Pfade wiederholt ab, um dieses Zeitfenster zu treffen. SecurityWeek zitierte das Unternehmen mit den Worten, seine neue Wordfence-Firewallregel habe neun Minuten nach der Bereitstellung den ersten Treffer registriert. In den ersten 21 Stunden verzeichnete die Telemetrie mehr als 18.500 Anfragen, die auf die Installationspfade im Staging-Verzeichnis setup-config.php zielten. Das belegt Versuche, nicht aber eine erfolgreiche Codeausführung.
Die Korrektur ändert, wie WordPress diese temporären Dateien behandelt: Das Staging-Verzeichnis wird zufällig benannt, ein Index-Schutz eingeführt und die unsichere Übernahme bereitgestellter Konfigurationsdaten blockiert. Version 7.1.4 behebt insgesamt 22 Sicherheitslücken, darunter XSS-Schwachstellen, Probleme mit der Interactivity API, eine nicht authentifizierte Offenlegung von Informationen und eine Schwäche bei der Autorisierung. Es aktualisiert außerdem die mitgelieferten Root-Zertifikate, um den kürzlich erfolgten Widerruf durch eMudhra abzubilden.
