🔴 CVE-2017-20251: Critical Schwachstelle

„`html

Zusammenfassung

Das WordPress Insert PHP Plugin in Versionen vor 3.3.1 weist eine kritische PHP Code Injection Sicherheitslücke auf. Diese ermöglicht es unauthentifizierten Angreifern, beliebigen PHP-Code auf dem betroffenen Server auszuführen. Die Schwachstelle wird durch die unsichere Verarbeitung von Shortcodes über die WordPress REST API ausgelöst.

Betroffene Systeme

Alle WordPress-Installationen mit aktiviertem Insert PHP Plugin in Versionen vor 3.3.1 sind anfällig. Dies umfasst:

• Insert PHP Plugin Version 3.3.0 und früher
• Alle WordPress-Versionen mit dem betroffenen Plugin
• Systeme mit aktivierter WordPress REST API

Technische Details

Die Vulnerability basiert auf unzureichender Input-Validierung bei der Verarbeitung von insert_php Shortcodes. Angreifer können POST-Requests an den Endpoint /wp-json/wp/v2/posts senden und manipulierte Shortcodes injizieren. Durch diese Shortcodes werden Remote-PHP-Dateien vom Server geladen und ausgeführt.

Das Plugin führt die Shortcode-Inhalte ohne angemessene Sanitization durch. Dies ermöglicht die Verwendung der Funktion include() oder eval() auf kontrolliertem Code. Keine Authentifizierung ist erforderlich, da die REST API öffentlich erreichbar ist.

Empfohlene Massnahmen

• Sofortmassnahme: Insert PHP Plugin deaktivieren und entfernen, bis ein Patch vorhanden ist
• Alternative: WordPress REST API auf den wp-json/wp/v2/posts Endpoint beschränken oder deaktivieren
• Monitoring: Logs auf verdächtige POST-Requests zur REST API überprüfen
• WAF-Regeln: Verdächtige Shortcodes in POST-Daten blockieren
• Update: Plugin sobald auf Version 3.3.1 oder höher aktualisieren

Bewertung

Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Schwachstelle mit hohem Risiko. Die fehlende Authentifizierung und die Möglichkeit zur Remote Code Execution (RCE) erfordern sofortige Remediation. Systeme mit aktiviertem Plugin sind unmittelbar gefährdet und können vollständig kompromittiert werden.

„`