CVE-2024-13784: PHP Object Injection i ARForms plugin
ARForms-pluginet til WordPress har en sårbarhed (CVE-2024-13784), der lader angribere indsætte PHP-objekter uden login. Opdatér pluginet.
Hvad er det?
CVE-2024-13784 er en fejl i WordPress-pluginet ARForms, der bruges til kontaktformularer, spørgeskemaer og pop-up-formularer. Fejlen findes i alle versioner op til og med 1.8.5 og skyldes usikker deserialisering, det vil sige at pluginet omdanner data fra formularindsendelser tilbage til programkode uden at kontrollere, hvad dataene indeholder. Det gør det muligt for en angriber uden login at indsætte et såkaldt PHP-objekt i systemet. I sig selv gør pluginet ikke noget skadeligt med objektet, men hvis et andet plugin eller tema på samme WordPress-hjemmeside indeholder en kæde af kode, en så kaldt POP-kæde, der kan misbruges sammen med objektet, kan angriberen slette filer, hente data eller køre kode på serveren.
Hvem rammer det?
Det rammer alle danske virksomheder og organisationer, der kører WordPress med pluginet Contact Form, Survey, Quiz & Popup Form Builder – ARForms i version 1.8.5 eller tidligere. Det gælder typisk SMV’er med kontaktformularer, tilmeldinger eller spørgeskemaer på deres hjemmeside, samt webbureauer, der har installeret pluginet hos flere kunder.
Hvad kan ske?
Konsekvensen afhænger af, hvilke andre plugins og temaer der er installeret på hjemmesiden. Findes der ikke en udnyttelig kodekæde andetsteds på siden, har fejlen ingen praktisk effekt. Findes der derimod et andet plugin eller tema med en sådan kæde, kan en angriber slette vilkårlige filer, hente fortrolige data fra databasen eller i værste fald få serveren til at køre skadelig kode, uden at have adgang til et brugernavn eller password.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste kategori. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over internettet mod formularen på hjemmesiden. Den reelle risiko afhænger dog af, om der findes en anden sårbar komponent på samme WordPress-installation. Der er ikke oplysninger om, at fejlen er udnyttet i praksis, men da angrebsfladen er lav, bør den lukkes uanset.
Hvad gør jeg nu?
Følg disse skridt for at fjerne risikoen:
- Opdatér ARForms-pluginet til en version nyere end 1.8.5, hvor deserialiseringen er rettet.
- Gennemgå øvrige installerede plugins og temaer på hjemmesiden, og fjern dem, der ikke er i brug.
- Sørg for, at alle øvrige plugins og temaer også holdes opdaterede, da risikoen først bliver aktuel, hvis en anden komponent kan misbruges sammen med denne fejl.
- Tjek loggen for usædvanlige POST-forespørgsler til formularsider, hvis I har mulighed for det.
- Tag en sikkerhedskopi af hjemmesiden, hvis det ikke allerede sker automatisk.
- Kontakt jeres webbureau eller en sikkerhedsrådgiver, hvis I ikke selv kan opdatere pluginet eller vurdere, om andre komponenter udgør en risiko.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer ARForms-pluginet til nyeste version, så snart det er praktisk muligt, og samtidig gennemgår øvrige plugins og temaer på hjemmesiden. Da der ikke er kendte tilfælde af aktiv udnyttelse, og fejlen kun har effekt sammen med en anden sårbar komponent, kan opdateringen planlægges ind i den næste ordinære opdateringsrunde, dog inden for en uges tid. Har I mange tredjepartsplugins installeret, vil vi anbefale en generel oprydning i ubrugte komponenter, da det reducerer risikoen for netop denne type sammensatte angreb fremadrettet.
Tidslinje
Konkrete eksempler
Kontaktformular kombineret med sårbart tema
En dansk håndværksvirksomhed bruger ARForms til kontaktformularen på sin hjemmeside og har samtidig installeret et gratis WordPress-tema, der indeholder en kendt kodekæde, som kan misbruges. En angriber sender et manipuleret formularsvar, der udnytter begge fejl sammen, og får derved mulighed for at slette filer på webserveren. Havde virksomheden alene brugt ARForms uden det sårbare tema, ville angrebet ikke have haft effekt.
Ofte stillede spørgsmål
Er vi ramt af CVE-2024-13784?
I er ramt, hvis jeres WordPress-hjemmeside bruger pluginet Contact Form, Survey, Quiz & Popup Form Builder – ARForms i version 1.8.5 eller ældre. Tjek pluginversionen under Plugins i WordPress-administrationen.
Kan vi vente til weekenden med at opdatere?
Der er ikke oplysninger om, at fejlen er udnyttet i praksis, og den kræver typisk en anden sårbar komponent for at have effekt. I kan derfor godt vente til næste ordinære opdateringsvindue, men lad det ikke gå længere end en uges tid.
Hvordan tjekker vi, om der findes en POP-kæde på vores side?
Det kræver typisk en teknisk gennemgang af koden i de øvrige plugins og temaer, I har installeret. Har I ikke selv kompetencerne til det, er det nemmere og billigere blot at opdatere ARForms og fjerne ubrugte plugins og temaer.
Skal vi anmelde dette som et sikkerhedsbrud?
Der er ikke tegn på, at fejlen er udnyttet mod jer. Så længe I ikke har konstateret uautoriseret adgang, datatab eller ændringer på hjemmesiden, er der ikke grundlag for en anmeldelse. Konstaterer I mistænkelig aktivitet efter opdateringen, bør I undersøge det som en almindelig sikkerhedshændelse.
Hvad hvis vi ikke selv administrerer vores WordPress-side?
Kontakt jeres webbureau eller hostingleverandør, og bed dem bekræfte, at ARForms-pluginet er opdateret til en version nyere end 1.8.5. Mange webbureauer opdaterer plugins automatisk, men det bør bekræftes for netop denne sårbarhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Contact Form, Survey, Quiz & Popup Form Builder – ARForms plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.8.5 via deserialization of untrusted input from form submissions. This makes it possible for unauthenticated attackers to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.