Una vulnerabilità di WordPress corretta nella versione 7.1.4, rilasciata il 28 ottobre, sta attirando tentativi di esecuzione remota di codice senza un account sul sito, secondo i risultati di Defiant riportati da SecurityWeek. Lo sfruttamento dipende da un breve intervallo durante un aggiornamento completo di Core e da alcune condizioni del server. Wordfence non ha segnalato compromissioni riuscite.
WordPress 7.1.4 contiene la correzione, che è stata estesa anche ai rami di rilascio fino alla versione 4.7. Il rapporto non indica le singole versioni corrette per quei rami meno recenti. Al momento della segnalazione non era stato ancora assegnato alcun identificativo CVE.
La vulnerabilità, classificata come ad alta gravità, riguarda i file temporanei utilizzati durante il processo di aggiornamento. Defiant la descrive come una race condition: gli aggressori devono agire mentre i file del programma di installazione sono disponibili, prima che WordPress li rimuova. Su molti server la directory in cui un aggiornamento estrae i propri file è raggiungibile dal web, e la sua posizione prevedibile offre agli aggressori un punto da cui sondare il sistema.
Questa esposizione da sola non basta. L'aggiornamento deve usare un pacchetto completo che contenga i file di installazione, e la directory di staging deve consentire sia l'accesso pubblico dal web sia l'esecuzione di PHP. Gli aggressori devono inoltre prevedere o scoprire la sua posizione e completare l'attacco prima della pulizia. La finestra dura solo pochi secondi, mentre WordPress estrae l'aggiornamento completo di Core. Defiant valuta la complessità dell'attacco come alta, nonostante non sia richiesta alcuna autenticazione.
Secondo Defiant, gli aggressori richiedono ripetutamente i percorsi interessati per intercettare quell'intervallo. SecurityWeek riporta che la regola del nuovo firewall di Wordfence ha registrato la prima corrispondenza nove minuti dopo la sua implementazione. Nelle prime 21 ore, la telemetria ha registrato più di 18.500 richieste dirette ai percorsi dei programmi di installazione nell'area di staging, setup-config.php. Questi dati documentano dei tentativi, ma non dimostrano un'esecuzione di codice riuscita.
La correzione cambia il modo in cui WordPress gestisce quei file temporanei: rende casuale il nome della directory di staging, introduce una protezione tramite file index e blocca la promozione non sicura dei dati di configurazione in staging. La versione 7.1.4 risolve complessivamente 22 difetti di sicurezza, tra cui vulnerabilità XSS, problemi nella Interactivity API, divulgazione di informazioni non autenticata e una debolezza nei controlli di autorizzazione. Aggiorna inoltre i certificati root inclusi per recepire la recente revoca di eMudhra.
