CVE-2020-37255: Godkendelsesfejl i Time Capsule til WP
Sårbarhed i WordPress-plugin’et Time Capsule (CVE-2020-37255) giver angribere administratoradgang uden login. Opdatér eller deaktivér plugin’et.
Hvad er det?
CVE-2020-37255 er en godkendelsesfejl i WordPress-plugin’et Time Capsule, version 1.21.16. Fejlen gør det muligt for en angriber uden login at sende en manipuleret POST-forespørgsel med headeren IWP_JSON_PREFIX og på den måde få en gyldig session-cookie for en administrator. Det betyder, at angriberen kan logge ind på WordPress-dashboardet med fulde administratorrettigheder uden at kende brugernavn eller adgangskode. Fejlen kaldes teknisk en godkendelsesomgåelse via en alternativ vej (CWE-288), fordi den udnytter en genvej i plugin’ets loginlogik i stedet for at omgå selve login-siden.
Hvem rammer det?
Alle danske virksomheder og kommuner, der driver en WordPress-hjemmeside med plugin’et Time Capsule i version 1.21.16 installeret. Plugin’et bruges typisk til at tage sikkerhedskopier af WordPress-sider, og det er ofte webbureauer eller udviklere, der har installeret det uden løbende opfølgning fra kunden. Sårbarheden findes uafhængigt af WordPress-version, da fejlen ligger i plugin’ets egen kode.
Hvad kan ske?
En angriber, der udnytter fejlen, får fuld administratoradgang til hjemmesiden. Det kan bruges til at installere skadelig kode, ændre indhold, oprette nye administratorbrugere, stjæle data fra kontaktformularer eller webshop, eller bruge sitet til at sende spam og angribe andre. For en dansk SMV betyder det typisk driftsstop, tab af kundedata og et arbejde med at rense og genopbygge sitet, som ofte tager flere dage.
Hvor alvorligt er det?
CVSS-scoren er 7,5 ud af 10, alvorlig. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over internettet med lav kompleksitet. Konsekvensen er fuld fortrolighedsbrist, fordi angriberen får adgang til administratorsessionen, men fejlen påvirker ikke integritet eller tilgængelighed direkte, det gør angriberens efterfølgende handlinger derimod. NVD har ikke oplyst, om fejlen er set udnyttet i praksis, men den er offentligt beskrevet, og angrebsmetoden er enkel at reproducere.
Hvad gør jeg nu?
Tjek jeres WordPress-installationer for plugin’et Time Capsule og handl i denne rækkefølge:
- Opdatér plugin’et Time Capsule til nyeste version fra WordPress’ plugin-arkiv. Er der ingen opdatering tilgængelig, deaktivér og afinstallér plugin’et helt.
- Gennemgå administratorbrugere på jeres WordPress-site og fjern ukendte eller uventede konti.
- Skift adgangskoder for alle administratorer og gennemtving nye login-sessioner.
- Gennemgå serverlogs for uventede POST-forespørgsler med headeren IWP_JSON_PREFIX for at afklare, om sitet allerede er blevet angrebet.
- Overvej at sætte en webapplikationsfirewall op, der blokerer mistænkelige forespørgsler mod plugin’ets endpoints, hvis I ikke kan opdatere med det samme.
- Er sitet allerede kompromitteret, eller er I i tvivl om omfanget, bør I hente hjælp fra en it-sikkerhedsspecialist til oprydning og verifikation.
Opdatér inden for få dage
Vi anbefaler, at I straks tjekker, om Time Capsule er installeret på jeres WordPress-sider, og opdaterer eller fjerner plugin’et. Det er kun i orden at vente, hvis I allerede har bekræftet, at plugin’et ikke er installeret, eller at det kører i en version uden fejlen. Er I i tvivl om, hvilke plugins der kører på jeres sites, bør I få lavet en gennemgang, da denne type fejl ofte findes i glemte eller sjældent opdaterede tilføjelser.
Tidslinje
Konkrete eksempler
Kommunehjemmeside med forældet plugin
En dansk kommunes hjemmeside kører WordPress med Time Capsule installeret til automatiske sikkerhedskopier. Et automatiseret angreb finder plugin’et, sender den manipulerede forespørgsel og opnår administratoradgang. Angriberen indsætter skadelig kode i sitet, som senere bruges til at omdirigere besøgende til svindelsider, indtil kommunens it-afdeling opdager og lukker hullet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger dette plugin?
Log ind på WordPress-administrationen, gå til Plugins, og se om Time Capsule står på listen. Kontakt jeres webbureau eller udvikler, hvis I ikke selv administrerer sitet, og bed dem bekræfte version og status.
Kan vi vente til efter weekenden med at opdatere?
Det kan I, hvis I i mellemtiden deaktiverer plugin’et eller blokerer adgang til det udefra. Ubeskyttet og aktivt kan sårbarheden udnyttes af automatiserede angreb, der scanner internettet for sårbare WordPress-sider.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå listen over administratorbrugere for ukendte konti, og tjek serverlogs for POST-forespørgsler med headeren IWP_JSON_PREFIX. Uventede ændringer i indhold eller nye filer på serveren er også tegn på kompromittering.
Skal vi anmelde dette til en myndighed?
Kun hvis der er sket et faktisk databrud, hvor personoplysninger er blevet tilgået eller lækket. I så fald skal I anmelde til Datatilsynet inden 72 timer efter, I har fået kendskab til bruddet.
Er det nok bare at skifte adgangskode?
Nej, fejlen giver adgang uden om login helt, så et kodeskifte alene stopper ikke angrebet. Plugin’et skal opdateres eller fjernes, ellers kan angriberen skabe en ny administratorsession igen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
WordPress Time Capsule Plugin 1.21.16 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain administrative access by sending a crafted POST request with the IWP_JSON_PREFIX header. Attackers can exploit this flaw to obtain valid administrator session cookies and access the WordPress dashboard without providing credentials.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.