חולשה בתוסף SAML SP Single Sign On לוורדפרס, בכל הגרסאות עד 5.4.3 ועד בכלל, מאפשרת לתוקף שלא הזדהה באתר להעלות את ההרשאות שלו. הציון הוא 8.1 מתוך 10. Patchstack, שפרסמה את הרשומה, לא פירטה את המנגנון, ולכן מה שאפשר לומר כאן על אופן הניצול מסתמך על הדירוג ועל סוג הבאג, ולא על תיאור מלא של היצרן.

מה החולשה?

התוסף מחבר את הכניסה לאתר וורדפרס למערכת זהויות חיצונית. במקום להקליד שם משתמש וסיסמה באתר עצמו, המשתמש מזדהה מול הספק המרכזי של הארגון, וזה שולח לאתר אישור חתום שאומר מי הוא ומה מותר לו. לתקן שמאחורי התהליך הזה קוראים SAML, ולצד שמקבל את האישור, כלומר האתר, קוראים SP, ספק השירות.

הבעיה היא בהרשאות שנקבעות בסוף התהליך. בשלב כלשהו האתר מקצה למי שנכנס דרגת הרשאה, וברשומה מסומן שההקצאה הזאת נעשית בצורה שגויה, CWE-266. התוצאה שמתוארת היא הסלמת הרשאות בלי הזדהות, וזו הבחנה שכדאי לקרוא לאט: לא השתלטות על חשבון קיים, אלא קבלת הרשאות גבוהות ממה שמגיע, על ידי מי שכלל לא עבר כניסה תקינה.

הדירוג מוסיף פרט אחד שמאזן את התמונה. הוא מסמן מורכבות תקיפה גבוהה, כלומר הניצול אינו מיידי ותלוי בתנאים שהתוקף אינו שולט בהם לגמרי. מנגד, אין צורך בשום הרשאה מוקדמת, ואין צורך שמישהו באתר יעשה משהו, והפגיעה בסודיות, בשלמות ובזמינות מסומנת גבוהה בשלושתן.

מי מושפע?

החולשה נוגעת לאתרי וורדפרס שמותקן בהם התוסף הזה בגרסה 5.4.3 או קודמת. הרשומה אינה מונה גרסה מתוקנת בשם, אלא רק את הטווח המושפע, כך שהיעד המעשי הוא כל גרסה מעל 5.4.3.

בישראל וורדפרס מריץ חלק גדול מהאתרים, אבל התוסף הספציפי הזה אינו מסוג הדברים שמתקינים באתר תוכן רגיל. מי שמתקין כניסה מאוחדת לוורדפרס עושה זאת כשהאתר משרת עובדים או חברים: פורטל פנימי, אתר של עמותה עם אזור מוגן, אתר לימוד, או אתר לקוחות של חברה שכבר מנהלת זהויות במקום אחר. ושם בדיוק החולשה מזיקה יותר, כי מי שנמצא מעבר לאזור המוגן הוא מי שהאתר מנסה להגן עליו.

הגולש שרק קורא אתר וורדפרס אינו צריך לעשות דבר. זו חולשה של מי שמתחזק את האתר.

האם מנוצלת בפועל?

לא ידוע על ניצול בשטח. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, לפי הבדיקה האחרונה של הדף הזה. כמו בכל רשומה כזאת, המשמעות היא שאין דיווח, לא שאין ניצול.

בהקשר של תוספי וורדפרס שווה להוסיף הערה על קצב. תוספים נסרקים אוטומטית ובהיקף גדול, ולכן חלון הזמן בין פרסום רשומה לניסיונות סריקה בתחום הזה נוטה להיות קצר. זה לא הופך את החולשה למנוצלת, אבל זה כן אומר שדחייה של שבועות אינה אותו דבר כאן ובמכשיר ארגוני סגור.

מה עושים?

בדקו איזו גרסה של התוסף מותקנת אצלכם. במסך התוספים בממשק הניהול של וורדפרס מופיעה הגרסה המותקנת לצד שם התוסף, וכל מספר עד 5.4.3 ועד בכלל נמצא בטווח המושפע.

אם אתם בטווח, עדכנו את התוסף. הרשומה עצמה אינה נוקבת במספר של הגרסה המתוקנת, ולכן היעד הוא הגרסה העדכנית שהתוסף מציע לכם, שהיא ממילא מעל 5.4.3. את פרטי הרשומה אפשר לראות בדף של Patchstack לחולשה הזאת.

ואם התוסף מותקן אצלכם אבל אינכם משתמשים בכניסה מאוחדת בפועל, מצב שנוצר לא מעט אחרי מיגרציה או אחרי פיילוט שנגמר, השביתו אותו והסירו אותו לגמרי. תוסף מושבת שנשאר מותקן הוא עדיין קוד שיושב על השרת.

אחרי העדכון, עברו על רשימת המשתמשים באתר וחפשו חשבונות עם הרשאות שאתם לא זוכרים שנתתם. זו הבדיקה שמתאימה לסוג הנזק שהחולשה הזאת מאפשרת.