Tun Sie dies jetzt
Schließen Sie zuerst den gefährdeten Pfad. Wenn Sie Hinweise auf eine Kompromittierung sehen, bewahren Sie diese auf, bevor Sie mit der Bereinigung beginnen.
- 1Bewahren Sie Beweise auf, wenn der Verdacht einer Kompromittierung besteht
Speichern Sie aktuelle Protokolle und erstellen Sie eine vollständige Datei- und Datenbanksicherung, bevor Sie Konten, Dateien oder geplante Aufgaben löschen. Beschränken Sie den Zugriff oder bitten Sie Ihren Gastgeber um Hilfe, wenn weiterhin Änderungen vorgenommen werden.
- 2Aktualisieren Sie WooPayments
Installieren Sie die neueste Version, die von Ihrer WordPress- und WooCommerce-Umgebung unterstützt wird. Führen Sie kein Downgrade auf die historisch wichtige Version 5.6.2 durch.
- 3Bestätigen Sie die aktive Version
Öffnen Sie in WordPress Plugins und überprüfen Sie die für WooPayments angezeigte Version, früher WooCommerce Payments genannt.
- 4Untersuchen Sie den Zeitraum der Exposition
Wenn Version 5.6.1 oder ein früherer betroffener Zweig aktiv war, überprüfen Sie privilegierte Konten, Inhalte, Software, Aufgaben, Dateien und verfügbare Überwachungsprotokolle.
Kurze Fakten
Der betroffene Bereich ist historisch. Die sicherste Wahl für den Betrieb ist heute die neueste unterstützte Version.
- CVE
- CVE-2023-28121
- Produkt
- WooPayments, früher WooCommerce Payments
- Betroffene Versionen
- NVD beschreibt 5.6.1 und niedriger; Die ursprüngliche Empfehlung von Woo befasst sich mit den anfälligen 4.8.0–5.6.1-Zweigen.
- Historischer Fix
- 5.6.2 war die erste feste Version im 5.6-Zweig; Woo hat auch gepatchte Versionen für ältere Zweige herausgegeben.
- Mögliches Ergebnis
- Ein nicht authentifizierter Angreifer könnte als Benutzer mit erhöhten Rechten, einschließlich eines Administrators, agieren.
- NVD-Schweregrad
- CVSS 3.1: 9,8 Kritisch (NVD-Bewertung)
„Betroffen“ bedeutet, dass der anfällige Code vorhanden war. Dies bedeutet nicht, dass jeder Shop, der diese Version ausführt, angegriffen oder kompromittiert wurde. Dieser Artikel wiederholt bewusst nicht die alte Behauptung, Hunderttausende Geschäfte seien gehackt worden; Die verfügbaren Quellen unterstützen dies nicht.
So funktionierte die Authentifizierungsumgehung
Der Fehler trat auf, während WordPress entschied, welcher Benutzer (falls vorhanden) zur Anfrage gehörte.
WordPress verwendet die determine_current_user Filter beim Festlegen des aktuellen Benutzers. Die Quellenüberprüfung von BitFire aus dem Jahr 2023 ergab, dass die Logik von WooCommerce Payments für den Plattform-Checkout bei dieser Entscheidung anforderungsgesteuerte Identitätsinformationen akzeptierte, ohne zuvor festzustellen, dass dem Anrufer vertraut wurde.
Dieser Fehler überschritt eine Vertrauensgrenze: Die von einer Remote-Anfrage bereitgestellten Daten beeinflussten die vertrauenswürdige Benutzeridentität des Servers. Der anfällige Codepfad könnte daher dazu führen, dass spätere WordPress-Berechtigungsprüfungen als erhöhtes Konto ausgeführt werden. Diese Beschreibung erklärt den Autorisierungsfehler ohne Veröffentlichung einer funktionierenden Anfrage oder Nutzlast.
Wurde mein Shop kompromittiert?
Keine einzige Zugriffsprotokollzeile kann diese Frage beantworten. Überprüfen Sie mehrere unabhängige Beweisquellen.
- 1Administratorkonten und Benutzer
Suchen Sie nach Konten, die Sie nicht kennen, ungeklärten Berechtigungsänderungen, ungewöhnlichen E-Mail-Adressen und Erstellungszeiten, die sich mit dem Offenlegungszeitraum überschneiden.
- 2Beiträge, Seiten, Plugins und Themen
Überprüfen Sie kürzlich erstellte Inhalte, installierte Software, aktivierte Komponenten und Änderungen an Design- oder Plugin-Dateien.
- 3Geplante Arbeit und Ausdauer
Untersuchen Sie WordPress-Crons, Server-Crons, unbedingt zu verwendende Plugins, Startdateien und unerwartete PHP-Dateien – insbesondere an Speicherorten, die für Medien vorgesehen sind.
- 4Sicherheits-, Zugriffs- und Überwachungsprotokolle
Erstellen Sie eine Zeitleiste aus verfügbaren Ereignissen. Korrelieren Sie verdächtige Anfragen mit Benutzererstellung, Dateiänderungen, Anmeldungen und ausgehenden Aktivitäten.
Es heißt nur, dass der Server eine erfolgreiche HTTP-Antwort zurückgegeben hat. Viele harmlose Anfragen bewirken das.
Es kann sein, dass eine Anfrage blockiert wurde, nicht dass jeder frühere oder alternative Versuch fehlgeschlagen ist.
Die im alten Artikel abgedruckte IP-Adresse, Antwortgröße und das Einzelanforderungsmuster sind keine zuverlässigen eigenständigen Indikatoren und wurden entfernt.
Checkliste für die Wiederherstellung
Eindämmen Sie böswilligen Zugriff, sichern Sie genügend Beweise, um ihn zu verstehen, entfernen Sie dann die Persistenz und rotieren Sie Geheimnisse.
- 1Bewahren Sie Protokolle und ein vollständiges Backup auf
Bewahren Sie Kopien nach Möglichkeit außerhalb des betroffenen Hosting-Kontos auf.
- 2Erfassen und deaktivieren Sie nicht autorisierte Administratoren
Erfassen Sie die Kontodetails und relevanten Zeiten, bevor Sie den Zugriff entziehen. Bestätigen Sie, dass unbekannte Konten nicht von Ihrem Gastgeber, Ihrer Agentur oder Ihrer Integration verwaltet werden.
- 3Scannen und untersuchen Sie die Persistenz
Überprüfen Sie Dateien, Datenbankinhalte, geplante Aufgaben, aktive Sitzungen und ausgehende Verbindungen. Folgen Sie dem Anleitung zum Scannen und Bereinigen von BitFire-Malware.
- 4Schädlichen Code eindämmen, bevor Geheimnisse geändert werden
Aktive Malware kann neue Anmeldeinformationen erfassen. Isolieren oder entfernen Sie es zuerst, wann immer der Vorfall es zulässt.
- 5Rotieren Sie die Zugangsdaten, die das Geschäft erreichen kann
Setzen Sie ggf. Administratorkennwörter, WordPress-Salts und -Sitzungen, API- und Zahlungsdienstschlüssel, Hosting- und SFTP-Anmeldeinformationen sowie Datenbankanmeldeinformationen zurück.
- 6Aktualisieren, testen und überwachen
Aktualisieren Sie die gesamte unterstützte Software, entfernen Sie nicht verwendete Komponenten, testen Sie den Checkout und die Integrationen und achten Sie darauf, dass verdächtiges Verhalten erneut auftritt.
Warum mehrschichtiger Schutz wichtig ist
Das Hersteller-Update ist die primäre Lösung. Unabhängige Kontrollen können das Risiko verringern, bevor ein Patch installiert wird oder wenn ein weiterer Anwendungsfehler auftritt.
Beseitigen Sie den bekannten Fehler
Das Aktualisieren ändert die anfällige Anwendungslogik und ist die direkteste und zuverlässigste Kontrolle für dieses CVE.
Kunden überprüfen und einschränken
Bot-Kontrollen und WAF-Regeln können feindlichen Datenverkehr reduzieren, obwohl ein Identitätslogik-Exploit einer legitimen Anwendungsanfrage ähneln kann.
Erzwingen Sie privilegierte Vorgänge
Laufzeitautorisierungskontrollen können eine weitere Grenze hinzufügen, wenn eine nicht authentifizierte Anforderung versucht, einen Konto-, Datei- oder Datenbankvorgang nur für Administratoren durchzuführen.
Diese Kontrollen ergänzen sich und stellen keine Garantien dar. Eine Anforderungssignatur-WAF kann bekannte Muster stoppen; Laufzeitkontrollen können ein gefährliches Ergebnis verhindern; Die Überwachung kann Aufschluss darüber geben, was versucht wurde. Keine davon ersetzt Patches, sicheren Anwendungscode, getestete Backups oder Reaktion auf Vorfälle.
Zeitleiste und Quellen
Das Bild der Ausbeutung änderte sich im März 2023. Diese Aussagen wahren die Daten und den Grad der Gewissheit von Woo.
- Sicherheitslücke gemeldet
Woo sagt, Michael Mazzolini von GoldNetwork habe das Problem über sein HackerOne-Programm gemeldet.
- Woo hat sein Advisory veröffentlicht
Woo sagte, es habe zu diesem Zeitpunkt keine Hinweise auf eine Verwendung außerhalb seiner eigenen Sicherheitstests gehabt und arbeite mit WordPress.org an automatischen Patch-Updates.
- Mögliche Ausbeutungsberichte untersucht
Woo aktualisierte die Empfehlung und teilte mit, dass einige Kunden potenzielle Exploits gemeldet hätten und dass jede Meldung untersucht werde.
- NVD hat CVE-2023-28121 veröffentlicht
NVD beschreibt den Remote-Zugriff durch nicht authentifizierte Administratoren und weist einen CVSS 3.1-Basiswert von 9,8 zu.
Referenzen
- NVD-Eintrag für CVE-2023-28121
Beschreibung der betroffenen Version, CVSS-Bewertung und Schwachstellenklassifizierung.
- Woo-Entwicklerhinweise und veraltete Updates
Anbieterbehebung, gepatchte historische Zweige und Ausnutzungserklärungen.
- Offizielle WooPayments-Plugin-Seite
Aktuelle Release- und Installationsinformationen.
- BitFires 2023-Demonstration zur Authentifizierungsumgehung
Historische, von BitFire verfasste Demonstration; nicht erforderlich, um das Update anzuwenden.
WooPayments CVE-FAQ
Historische Versionsnummern dienen der Untersuchung und nicht als Downgrade-Ziel.
Ist 5.6.2 immer noch die Version, die ich installieren sollte?
Nein. Version 5.6.2 ist historisch wichtig als erster Fix im 5.6-Zweig. Installieren Sie die neueste unterstützte WooPayments-Version, die für Ihre verwaltete Umgebung verfügbar ist.
Entfernt das Update eine vorhandene Hintertür?
Nein. Durch die Aktualisierung wird dieser anfällige Pfad geschlossen. Schädliche Dateien, Konten, Aufgaben, Sitzungen oder zuvor erstellte Datenbankänderungen werden nicht entfernt.
Sollte jeder Kunde ein Passwort zurücksetzen?
Woos Empfehlung besagte, dass Standard-WordPress-Passwörter gehasht wurden und nicht behauptet wurde, dass jedes Passwort offengelegt wurde. Nutzen Sie die Beweise und den Expositionszeitraum als Leitfaden für die Reaktion. Wenn verdächtige Aktivitäten vorliegen, dämmen Sie schädlichen Code ein und rotieren Sie dann die betroffenen Administratorkennwörter, Sitzungen, Salts, API-Schlüssel, Zahlungs- oder Serviceschlüssel und Infrastrukturanmeldeinformationen entsprechend.
Bedeutet eine betroffene Version, dass mein Shop gehackt wurde?
Nein. Das bedeutet, dass der anfällige Code vorhanden war. „Gefährdet“, „gezielt“ und „bestätigt kompromittiert“ beschreiben unterschiedliche Zustände und sollten nicht als Synonyme behandelt werden.