WordPress のプラグイン WooCommerce Payments において検証処理の不備により任意の管理者アカウントの追加が可能となる脆弱性（Scan Tech Report）

◆概要
　2023 年 3 月に修正された、WordPress のプラグイン WooCommerce Payments の脆弱性に対するエクスプロイトコードが公開されています。脆弱性の悪用により、WordPress の管理用 Web コンソールへのログインが可能となります。当該プラグインのアップデートにより対策してください。

◆分析者コメント
　脆弱性は悪用が容易なものであり、curl コマンドでも簡単に攻撃リクエストが作成可能です。WordPress では、管理者権限で管理用 Web コンソールへのアクセスが可能である場合は、悪意のあるプラグインのインストールによりホスト OS への侵入が可能となるため、当該脆弱性の悪用に成功した攻撃者は、WordPress のホスト OS への侵入が可能となります。WordPress を買い物サイトとして運用している場合は、当該脆弱性の有無を速やかに確認しましょう。

◆深刻度(CVSS)
[CVSS v3.1]
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2023-28121&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア
　以下のバージョンの WooCommerce Payments プラグインが、当該脆弱性の影響を受けると報告されています。

* バージョン 4.8.0 以上 4.8.2 未満
* バージョン 4.9.0
* バージョン 5.0.0 以上 5.0.4 未満
* バージョン 5.1.0 以上 5.1.3 未満
* バージョン 5.2.0 以上 5.2.2 未満
* バージョン 5.3.0
* バージョン 5.4.0
* バージョン 5.5.0 以上 5.5.2 未満
* バージョン 5.6.0 以上 5.6.2 未満


◆解説
　世界的に利用されている CMS である WordPress で、買い物サイトを構築するために利用されている WooCommerce が提供しているプラグインの一つであり電子会計機能を提供する WooCommerce Payments に、WordPress のサイトに任意の WordPress 管理者アカウントの追加が可能となる脆弱性が報告されています。

　脆弱性は、会計処理時のセッション情報の検証不備に起因するものです。脆弱性が存在する WooCommerce Payments プラグインでは、利用者からのリクエストの HTTP ヘッダに HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER の値にゼロではない数値が設定されていると、WordPress の API の利用が可能となる Cookie を発行してしまう脆弱性が存在します。攻撃者は当該脆弱性の悪用により発行された Cookie を用いて、管理用 Web コンソールに管理者権限でアクセス可能なアカウントを作成できます。脆弱性の修正差分は以下の URL から確認できます。

　　GitHub - Automattic/woocommerce-payments
　　https://github.com/Automattic/woocommerce-payments/compare/5.6.1...5.6.2

修正差分を確認すると、以下の PHP コードから、Cookie を発行する処理を削
除して脆弱性に対策していることが確認できます。

　　* includes/platform-checkout/class-platform-checkout-session.php


◆対策
　WooCommerce Payments プラグインのバージョンを、脆弱性の影響を受けないバージョンにアップデートしてください。

◆関連情報
[1] WooCommerce 公式
　　https://developer.woocommerce.com/2023/03/23/critical-vulnerability-detected-in-woocommerce-payments-what-you-need-to-know/
[2] RCE Security
　　https://www.rcesecurity.com/2023/07/patch-diffing-cve-2023-28121-to-compromise-a-woocommerce/
[3] National Vulnerability Database (NVD)
　　https://nvd.nist.gov/vuln/detail/CVE-2023-28121
[4] CVE Mitre
　　https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-28121

◆エクスプロイト
　以下の Web サイトにて、当該脆弱性を悪用して WordPress の Web コンソールに管理者権限アカウントを追加するエクスプロイトコードが公開されています。

　　GitHub - gbrsh/CVE-2023-28121
　　https://github.com/gbrsh/CVE-2023-28121/blob/main/exploit.py

#--- で始まる行は執筆者によるコメントです。