CVE-2024-1209

Exposition sensibler Informationen durch Aufgaben in LearnDash. Nicht authentifizierte Besucher können hochgeladene Aufgaben durchsuchen und herunterladen.

• Schwachstelle: CVE-2024-1209 Sensitive Information Exposure via assignments
• CVSS: 5.3 (Mittel)
• Software: LearnDash (sfwd-lms)
• Betroffene Versionen: <= 4.10.1
• Gepatchte Version: 4.10.2 (teilweise), 4.10.3 (vollständig)
• Entwickler: LearnDash
• Forscher: Karl Emil Nikka, Nikka Systems
• Öffentlich veröffentlicht: 2024-02-05
• Zuletzt aktualisiert: 2024-02-05

Überblick

Jeder, einschließlich nicht authentifizierter Besucher, kann alle hochgeladenen LearnDash-Aufgaben einsehen. Da die Aufgaben öffentlich sind, kann jeder, der von dieser Schwachstelle weiß, die hochgeladenen Dokumente lesen (was potenzielle DSGVO-Verstöße verursacht). Die Schwachstelle kann ausgenutzt werden, ohne ein Konto auf der Website zu haben.

Hintergrundinformationen

LearnDash ist ein Learning-Management-System-Plugin für WordPress.

Die betroffenen Versionen von LearnDash (<=4.10.1) speichern hochgeladene Aufgabendateien in Ordnern ohne Zugriffsschutz. Wenn ein Benutzer eine Aufgabendatei hochlädt, legt LearnDash die Datei in /wp-content/uploads/assignments/ ab. Die Datei behält ihren ursprünglichen Namen, wird jedoch mit der Post-ID, von der sie hochgeladen wurde, und dem Unix-Zeitstempel vorangestellt.

LearnDash hat drei REST-APIs: /wp/v2/, /ldlms/v1/ und /ldlms/v2/ (derzeit in Beta). Alle APIs, einschließlich der Beta-API, sind standardmäßig aktiviert. Die /ldlms/v1/- und /ldlms/v2/-APIs können für bestimmte Beitragstypen mithilfe des Filters learndash_rest_api_enabled deaktiviert werden (siehe class-ld-rest-api.php).

Schwachstelle

Jeder, einschließlich nicht authentifizierter Besucher, kann jede hochgeladene Aufgabendatei herunterladen, indem er einfach den Dateinamen kennt.

LearnDash hängt jedem hochgeladenen Dateinamen einen Zeitstempel an, um das Erraten des Namens zu erschweren, aber Zeitstempel sind durch Brute-Force ermittelbar. Leider muss ein nicht authentifizierter Besucher, der hochgeladene Aufgaben lesen möchte, nicht einmal Dateinamen erraten. Die betroffenen Versionen von LearnDash (<=4.10.1) veröffentlichen alle eingereichten Aufgaben für nicht authentifizierte Besucher über die REST-API. Ein Besucher muss lediglich den Endpunkt für sfwd-assignment über die /wp/v2/ REST-API aufrufen. Die Antwort enthält Pfade zu den hochgeladenen Dateien, und der Besucher kann sie herunterladen, ohne sich anzumelden.

https://example.com/wp-json/wp/v2/sfwd-assignment

Patches

LearnDash 4.10.2 wurde am 2024-01-08 veröffentlicht. Es behob das Problem mit der Offenlegung von Aufgabendateipfaden über die REST-API. CVE-2024-1208 und CVE-2024-1210 blieben bestehen.

LearnDash 4.10.3 wurde am 2024-01-31 veröffentlicht. Es verlagerte den Dateispeicherort in einen geschützten Ordner und führte dynamische Download-Links ein, um unbefugten Zugriff zu verhindern.

Zeitleiste

• 2023-12-25 Ich meldete CVE-2024-1208, CVE-2024-1209 und CVE-2024-1210 an den LearnDash-Support (gemäß der 90-Tage-Richtlinie von Project Zero für verantwortungsvolle Offenlegung). Ich legte alle drei Schwachstellen im selben Bericht vor. Die Schwachstellen wurden später aufgeteilt und erhielten von Wordfence drei verschiedene CVE-IDs.
• 2023-12-25 Ich reichte die Schwachstelle bei Wordfences CNA ein. Ich lehnte die Teilnahme an ihrem Bug-Bounty-Programm ab.
• 2023-12-27 Der LearnDash-Support antwortete und bestätigte, dass der Bericht an die Entwickler weitergeleitet wurde.
• 2024-01-03 LearnDash bestätigte die Schwachstelle.
• 2024-01-04 LearnDash meldete sich, um mitzuteilen, dass die Behebung der Aufgaben-Schwachstelle priorisiert werde.
• 2024-01-08 LearnDash veröffentlichte LearnDash 4.10.2, das CVE-2024-1209 teilweise behob, indem keine hochgeladenen Aufgaben mehr über die REST-API offengelegt wurden. CVE-2024-1208 und CVE-2024-1210 blieben bestehen.
• 2024-01-31 LearnDash veröffentlichte LearnDash 4.10.3, das die verbleibenden Teile aller drei Schwachstellen erfolgreich behob.
• 2024-02-02 Wordfence fügte die Schwachstelle zur CVE-Datenbank hinzu.
• 2024-02-05 Ich veröffentlichte diesen Bericht.

LearnDash hat den Schwachstellenbericht gut behandelt und die Schwachstelle innerhalb des 90-tägigen Zeitfensters für verantwortungsvolle Offenlegung behoben.