Une vulnérabilité de WordPress corrigée dans la version 7.1.4, publiée le 28 octobre, attire des tentatives d'exécution de code à distance sans compte sur le site, selon les constats de Defiant rapportés par SecurityWeek. L'exploitation dépend d'un bref intervalle pendant une mise à jour complète du cœur et de plusieurs conditions côté serveur. Wordfence n'a signalé aucune compromission réussie.
WordPress 7.1.4 contient le correctif, qui a également été rétroporté dans les branches de publication jusqu'à WordPress 4.7. Le rapport n'identifie pas les versions corrigées individuelles pour ces branches plus anciennes. Aucun identifiant CVE n'avait été attribué au moment de la publication du rapport.
La vulnérabilité, de gravité élevée, concerne les fichiers temporaires utilisés pendant le processus de mise à jour. Defiant la décrit comme une situation de concurrence (race condition) : les attaquants doivent agir pendant que les fichiers de l'installateur sont disponibles, avant que WordPress ne les supprime. Sur de nombreux serveurs, le répertoire dans lequel une mise à jour décompresse ses fichiers est accessible depuis le web, et son emplacement prévisible offre aux attaquants une piste à sonder.
Cette exposition ne suffit pas à elle seule. La mise à jour doit utiliser un paquet complet contenant les fichiers de l'installateur, et l'arborescence de préparation doit autoriser à la fois l'accès web public et l'exécution de PHP. Les attaquants doivent aussi prévoir ou découvrir son emplacement et achever l'attaque avant le nettoyage. La fenêtre ne dure que quelques secondes, le temps que WordPress décompresse la mise à jour complète du cœur. Defiant classe la complexité de l'attaque comme élevée, malgré l'absence d'exigence d'authentification.
Selon Defiant, les attaquants sollicitent de façon répétée les chemins concernés pour viser cet intervalle. SecurityWeek a cité l'entreprise affirmant que sa nouvelle règle du pare-feu Wordfence a enregistré une première correspondance neuf minutes après son déploiement. Sur les 21 premières heures, la télémétrie a relevé plus de 18 500 requêtes visant les chemins des installateurs préparés setup-config.php. Cela documente des tentatives, sans établir d'exécution de code réussie.
La correction modifie la manière dont WordPress gère ces fichiers temporaires : elle rend le répertoire de préparation aléatoire, ajoute une garde d'index et bloque la promotion non sécurisée des données de configuration préparées. La version 7.1.4 corrige 22 défauts de sécurité au total, notamment des failles XSS, des problèmes liés à l'API d'interactivité, une divulgation d'informations non authentifiée et une faiblesse d'autorisation. Elle met aussi à jour les certificats racines intégrés pour tenir compte de la récente révocation d'eMudhra.
