---

title: "Sécurité des SI - CVE 2023-38408"

Анализ и эксплуатация CVE-2023-3460

CVE ID	CVSS Score	Discovered	Affected Plugin	Vulnerability Type
CVE-2023-3460		07/04/2023	Ultimate Member	Несанкционированный доступ администратора

Содержание

• Введение
• Общий механизм уязвимости
  • Механизм управления ролями в WordPress
  • Некорректная реализация Ultimate Member
• Цель безопасности для CVE-2023-3460
  • Допущения
  • Типичные пользователи
  • Активы, подлежащие защите
  • Угрозы
  • Функции безопасности
• Типичная архитектура
• Смягчение уязвимости
• Экспериментирование с уязвимостью
  • Воспроизведение
  • Подробности об exploit.py
• Приложение
  • Глоссарий
  • Источники

Введение

Данное исследование посвящено CVE¹-2023-3460 — критической уязвимости, затрагивающей плагин "Ultimate Member" для WordPress, которая позволяет несанкционированное повышение привилегий. Этот плагин широко распространён и используется для управления профилями на сайтах WordPress. Данная уязвимость представляет серьёзный риск, поскольку позволяет атакующему получить права администратора и, следовательно, полный контроль над сайтом. Именно поэтому эта ошибка была классифицирована как критическая и оценена в 9.1 балла по шкале CVSS организацией NIST².

Общий механизм уязвимости

CVE-2023-3460 эксплуатирует ошибку в управлении ролями и разрешениями плагином. В WordPress функция WP_Capabilities³ используется для управления ролями и разрешениями пользователей. Эта функция позволяет администраторам определять конкретные возможности для каждой роли пользователя. Однако неправильное использование этой функции может привести к уязвимостям повышения привилегий.

В случае Ultimate Member уязвимость позволяет атакующему обойти проверку возможностей WP и получить доступ уровня администратора к сайту. Плагин работает, используя предопределённый список ключей метаданных пользователя, которыми не должны манипулировать пользователи. Однако такой подход к безопасности, основанный на списках блокировки, часто оказывается недостаточным, поскольку оставляет возможности для обхода.

Механизм управления ролями в WordPress

WordPress управляет ролями и разрешениями пользователей через структуру, называемую wp_capabilities. Эта структура представляет собой сериализованное представление различных ролей и разрешений, предоставленных пользователям. Например, администратор будет иметь иной набор возможностей, чем редактор или автор. Эти возможности хранятся в базе данных WordPress в виде сериализованных массивов в таблице wp_usermeta.

Некорректная реализация Ultimate Member

Ошибка CVE-2023-3460 берёт своё начало в реализации управления ролями и разрешениями в Ultimate Member. Плагин работает, используя предопределённый список ключей метаданных пользователя, которыми пользователи не должны манипулировать. Этот список используется для проверки того, пытаются ли пользователи сохранить эти ключи при создании учётной записи. Такой подход является распространённым анти-паттерном безопасности, когда блокировка известных вредоносных входных данных (списки блокировки) может казаться интуитивно понятной, но на деле оказывается сложнее, чем ожидалось, и часто оставляет возможности для обхода безопасности.

Здесь Ultimate Member использует недостаточную проверку метаданных, отправляемых при регистрации пользователей. Плагин использует функцию под названием is_metakey_banned для проверки того, разрешены ли метаданные, отправленные пользователем. Эта функция проверяет, присутствуют ли отправленные метаданные в списке запрещённых метаданных. Если это так, функция возвращает true, и регистрация пользователя блокируется. В противном случае функция возвращает false, и регистрация пользователя разрешается.

Однако WordPress принимает некоторые символы с диакритическими знаками как символы по умолчанию. Если пользователь отправляет метаданные с символами с диакритическими знаками, функция is_metakey_banned не обнаружит их, и регистрация пользователя будет разрешена.

Цель безопасности для CVE-2023-3460

Допущения

Организационная безопасность

Плагин Ultimate Member широко используется в различных средах — от небольших личных блогов до крупных сайтов электронной коммерции. Нельзя сделать никаких конкретных допущений о навыках в области компьютерной безопасности конечных пользователей или администраторов сайтов.

Физическая безопасность

Серверы, размещающие сайты WordPress, обычно расположены в защищённых центрах обработки данных. Для личных сайтов физическая безопасность зависит от индивидуального окружения пользователя.

Логическая безопасность

Предполагается, что плагин Ultimate Member установлен и настроен правильно в соответствии с официальными инструкциями. Предполагается, что сайт WordPress поддерживается в актуальном состоянии с базовыми мерами безопасности.

Типичные пользователи

• Администраторы сайта: управляют конфигурацией плагина и общей безопасностью сайта.
• Пользователи сайта: регистрируются и взаимодействуют с сайтом через плагин Ultimate Member.
• Разработчики: настраивают и расширяют функциональность плагина для конкретных нужд.

Активы, подлежащие защите

• B1 Конфиденциальность данных пользователей: личная информация и учётные данные для входа.
• B2 Целостность веб-сайта: предотвращение несанкционированных изменений содержимого или структуры сайта.
• B3 Целостность плагина Ultimate Member: исходный код и функциональность плагина.

Угрозы

• M1 Несанкционированный доступ: атакующий получает привилегии администратора через уязвимость.
• M2 Внедрение вредоносного кода: изменение поведения сайта путём внедрения кода.
• M3 Утечка данных: несанкционированный доступ к конфиденциальным данным пользователей.
• M4 Ущерб репутации: негативные последствия для репутации из-за компрометации сайта.

Покрытие активов угрозами

Угрозы	B1 (Конфиденциальность данных пользователей)	B2 (Целостность веб-сайта)	B3 (Целостность плагина Ultimate Member)
M1 Несанкционированный доступ	X	X	X
M2 Внедрение вредоносного кода		X	X
M3 Утечка данных	X
M4 Ущерб репутации		X

7.5 Функции безопасности