CVE-2024-11080: Kritisk fejl i WordPress-plugin ComboBlocks

CVE-2024-11080 er en sårbarhed i WordPress-pluginet Post Grid and Gutenberg Blocks – ComboBlocks, som mange bruger til at bygge sider med gitter-layout og blokke. Fejlen kaldes hook injection og betyder, at en angriber kan indsætte og udløse funktioner i WordPress’ interne handlingssystem, kaldet hooks, uden at være logget ind. Hooks styrer, hvornår og hvordan WordPress kører kode, og ved at manipulere dem kan en angriber få webstedet til at udføre handlinger, det ikke var tiltænkt. Sårbarheden ligger i filen function.php under pluginets form-wrap-blok og rammer versionerne 2.2.32 til 2.3.1.

Alle WordPress-websteder, der bruger pluginet Post Grid and Gutenberg Blocks – ComboBlocks i version 2.2.32 til og med 2.3.1. Det gælder typisk danske virksomheder og foreninger, der bruger WordPress som CMS og har installeret pluginet for at bygge gallerier, blogoversigter eller formularer med grid-layout.

En angriber kan uden login sende et specielt udformet kald til webstedet og få WordPress til at udføre funktioner, der normalt kun kan tilgås af indloggede brugere eller administratorer. Afhængigt af hvilke andre plugins og indstillinger der er på webstedet, kan det i praksis føre til, at angriberen ændrer indhold, opretter nye brugere med administratorrettigheder, eller får adgang til følsomme data. For en dansk virksomhed betyder det risiko for, at webstedet bliver kapret, bruges til at sprede skadelig kode til besøgende, eller mister kundedata.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller brugerhandling og kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed i høj grad, altså både data, indhold og drift. Der er ikke oplyst aktiv udnyttelse i naturen på offentliggørelsestidspunktet, men den lave adgangsbarriere gør, at automatiserede angreb typisk kommer hurtigt, når sårbarheder som denne bliver kendt.

Følgende trin lukker hullet og begrænser skaden, hvis webstedet allerede er ramt.

1. Opdatér pluginet Post Grid and Gutenberg Blocks – ComboBlocks til nyeste version fra WordPress’ plugin-arkiv. Tjek at versionen er nyere end 2.3.1.
2. Kan pluginet ikke opdateres med det samme, så deaktivér det midlertidigt, indtil opdateringen er testet og installeret.
3. Gennemgå listen af administratorbrugere på webstedet for uventede eller ukendte konti oprettet efter offentliggørelsesdatoen.
4. Tjek loggen for usædvanlige kald til form-wrap-funktioner eller uventede POST-forespørgsler, hvis webhotellet gør logs tilgængelige.
5. Tag en frisk backup, når opdateringen er på plads, så I har et rent udgangspunkt at gå tilbage til.
6. Er webstedet forretningskritisk, eller er I i tvivl om, hvorvidt det allerede er kompromitteret, bør I hente ekstern hjælp til en teknisk gennemgang.