CVE-2019-25763: Loginfejl i Ultimate Addons Beaver Builder

Sårbarheden sidder i pluginnet Ultimate Addons for Beaver Builder version 1.2.4.1 til WordPress. Fejltypen kaldes CWE-288, autentificering omgået via en alternativ kanal, hvor et system har en ekstra indgang, der ikke bliver kontrolleret lige så grundigt som den almindelige login-side. Her ligger den ekstra indgang i funktionen til social medie-login. En angriber kan sende en POST-forespørgsel, en type webanmodning der afsender data, til WordPress’ interne endepunkt admin-ajax.php med kommandoen uabb-lf-google-submit, en gyldig administrator-mailadresse og et gyldigt nonce, et engangstal der normalt skal bekræfte at forespørgslen er ægte. Resultatet er en session-cookie, der giver fuld adgang som den pågældende administrator, helt uden at kende adgangskoden.

Det rammer danske virksomheder, foreninger og kommuner, der driver en WordPress-hjemmeside med pluginnet Ultimate Addons for Beaver Builder i version 1.2.4.1. Pluginnet bruges typisk sammen med sidebyggeren Beaver Builder til at designe landingssider, formularer og login-blokke. Er social medie-login sat op på siden, er angrebsfladen direkte, men da admin-ajax.php som udgangspunkt er tilgængeligt uden login på alle WordPress-sider, bør alle med pluginnet installeret betragte sig som potentielt ramt.

En angriber, der får den rigtige administrator-mail, kan opnå fuld kontrol over hjemmesiden uden at logge ind på normal vis. Herfra kan angriberen oprette nye brugere, installere skadelig kode, omdirigere besøgende til svindelsider, stjæle kundedata fra formularer eller lukke siden helt ned. For en dansk virksomhed betyder det ofte tabt omsætning, mistet kundetillid og i nogle tilfælde pligt til at anmelde et databrud til Datatilsynet, hvis der er lagt persondata ind i formularer på siden.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kræver ingen handling fra en bruger, og kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen er fuld adgang til fortrolighed, integritet og tilgængelighed af sitet. NVD-beskrivelsen indeholder de konkrete parametre, der skal bruges i angrebet, hvilket gør det forholdsvis let for en angriber at bygge et fungerende angreb, selv uden et offentligt tilgængeligt værktøj.

Følgende trin lukker hullet og reducerer risikoen, mens I venter på en officiel opdatering fra pluginudvikleren.

1. Deaktivér funktionen til social medie-login i Ultimate Addons for Beaver Builder, indtil pluginnet er opdateret eller udskiftet.
2. Undersøg om der findes en nyere version af pluginnet hos leverandøren, og opdatér til den, hvis den findes.
3. Blokér eller begræns adgangen til admin-ajax.php for uautoriserede forespørgsler via jeres webserver eller en firewall til webapplikationer (WAF).
4. Gennemgå listen over administratorbrugere på siden, og fjern eller nulstil adgangskoder på konti, I ikke kan stå inde for.
5. Tjek server- og webloggen for forespørgsler med uabb-lf-google-submit for at se, om siden allerede har været udsat for angrebet.
6. Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan verificere, om pluginnet er opdateret eller sitet er kompromitteret.