La faille affecte l’API REST Batch de WordPress Core, permettant à des attaquants non authentifiés d’exécuter du code sur des sites vulnérables.
Les organisations exécutant des versions récentes de WordPress sont invitées à corriger une vulnérabilité d’exécution de code à distance (RCE) de pré-authentification nouvellement détaillée affectant l’API REST Batch intégrée de la plate-forme.
La faille, baptisée wp2shell, permet aux attaquants d’exécuter du code arbitraire sur une installation WordPress par défaut sans nécessiter de plugins, d’authentification ou de configuration spéciale.
Adam Kues de Searchlight Cyber a d’abord signalé le problème et publié un vérificateur public pour évaluer les risques, retenant les détails techniques jusqu’à ce qu’un correctif soit disponible et que les administrateurs aient suffisamment de temps pour l’appliquer.
Dans une analyse technique publiée par Hadrian, les chercheurs ont reconstitué la cause première du correctif de sécurité de WordPress publié le 17 juillet. La vulnérabilité, ont-ils déclaré, réside dans le point de terminaison principal du lot de l’API REST « batch/v1 », où une inadéquation d’indexation lors de la validation de la demande peut entraîner un mauvais alignement des objets de la demande et de leurs contrôles d’autorisation associés.
En conséquence, une requête par lots contrefaite peut être traitée dans un mauvais contexte d’autorisation, permettant finalement l’exécution de code à distance.
« Un attaquant qui atteint le bug obtient l’exécution de code non authentifié sur le serveur Web », ont déclaré les chercheurs. « En pratique, cela signifie un contrôle total du site et de son contenu, un accès à la base de données et aux informations d’identification ou données personnelles qu’elle détient, ainsi qu’un accès à l’environnement d’hébergement environnant. »
Le problème affecte WordPress 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1. Selon Hadrian, les versions 6.9.5 et 7.0.2 contiennent le correctif, tandis que la version 6.8.6 inclut les mêmes modifications de renforcement, même si les versions 6.8.x antérieures ne sont pas affectées par cette vulnérabilité spécifique.
Étant donné que le composant vulnérable fait partie de WordPress Core et que l’API REST Batch est activée par défaut, tout site affecté exposant l’API REST est potentiellement accessible par les attaquants. Les chercheurs ont déclaré que ce point de terminaison reste accessible via « /wp-json/batch/v1 » et le chemin alternatif /« ?rest_route=/batch/v1 », même sur les déploiements sans règles de réécriture.
Hadrian a recommandé de mettre à niveau immédiatement vers WordPress 6.9.5 ou 7.02, de vérifier que les mises à jour se sont terminées avec succès et, lorsque les correctifs ne peuvent pas être effectués immédiatement, de bloquer l’accès non autorisé aux deux points de terminaison de l’API REST Batch sur le serveur Web et via WAF.
Il a également été conseillé aux organisations d’inventorier tous les déploiements WordPress, y compris les sites de campagne et les sites de campagne oubliés, et de vérifier si un accès non autorisé à l’API REST est nécessaire pour leur environnement.
