Uma grave vulnerabilidade de segurança foi descoberta no Ultimate Member – um dos plugins de membros mais populares para WordPress – que permite expor links de redefinição de senha e assumir o controle de contas de usuário, incluindo contas de administrador, afetando potencialmente até 200,000 instalações do WordPress. A vulnerabilidade foi classificada como grave (nota 8.8 de 10).
Conforme relatado por Roger Montti no Search Engine Journal, o problema reside na combinação de três falhas lógicas. O atacante precisa ter direitos de acesso de nível colaborador para explorar a vulnerabilidade; contudo, quando isso acontece, o efeito da exploração é devastador: a tomada completa do controle da conta do website.
O que faz um membro Ultimate?
Antes de entrarmos nos detalhes da vulnerabilidade, é necessário falar um pouco sobre a funcionalidade deste plugin. O Ultimate Member é um plugin para WordPress que permite aos proprietários de sites criar comunidades online, portais de membros e diretórios de usuários. Com o Ultimate Member, os usuários podem se cadastrar em um site, fazer login, criar perfis de usuário e acessar diretórios de membros pesquisáveis; os usuários podem se tornar autores e criar posts e comentários.
Por isso, o Ultimate Member é comumente usado em sites que permitem envolvimento e participação da comunidade, plataformas para freelancers, portais educacionais ou sites baseados em assinatura. Se um site usa esse plugin para gerenciar funções e assinaturas de usuários, ele é afetado pela vulnerabilidade descrita.
Como funciona o ataque
Essa vulnerabilidade não é uma falha isolada, mas sim uma cadeia de três problemas distintos que um atacante combina para obter o controle total da conta.
Primeiramente, o atacante engana o plugin para que ele trate posts aleatórios como diretórios de membros legítimos. Normalmente, o diretório de membros é a lista controlada de usuários exibida no site; no entanto, com a ajuda da validação falha, o atacante redireciona a funcionalidade relacionada ao diretório para o conteúdo que está sob seu controle.
Em segundo lugar, o atacante contorna as restrições em campos de metadados protegidos. Os metadados no WordPress geralmente contêm informações internas que os plugins esperam que os usuários comuns não possam manipular diretamente.
Em terceiro lugar, o plugin não valida os nomes dos campos usados para a geração dos dados do cartão do usuário. É por isso que o atacante solicita os campos que nunca devem ser exibidos aos usuários e, em particular, o link de redefinição de senha.
Como resultado, o atacante com acesso de nível de colaborador pode forçar o plugin a revelar o URL de redefinição de senha ativo para qualquer conta no site, incluindo a conta de administrador.
Por que os links de redefinição de senha são tão perigosos?
Os links para redefinição de senha são credenciais de login temporárias. Devem ser privados e enviados apenas para o usuário titular da conta.
Uma vez que o atacante tenha esse link, obter controle total do site requer apenas alguns passos. Primeiro, o atacante clica nesse link e redefine a senha do administrador para uma senha de sua escolha; em seguida, o atacante acessa o site como administrador e obtém acesso completo ao painel do WordPress, podendo instalar plugins, alterar conteúdo, acessar os dados do usuário e modificar o que quiser.
Conforme observado pela Wordfence em seu alerta de inteligência de ameaças, “Isso possibilita que invasores autenticados com acesso de nível Colaborador ou superior vazem URLs de redefinição de senha em tempo real para todos os usuários na resposta do diretório de membros, incluindo administradores.
O que significa acesso em nível de colaborador
Um dos pontos-chave dessa vulnerabilidade é o seu ponto de entrada. Essa vulnerabilidade requer autenticação e, portanto, o atacante não pode explorá-la sem obter acesso prévio ao site WordPress. O atacante precisa ter, no mínimo, direitos de acesso de nível colaborador.
Isso pode parecer reconfortante, mas na prática não é um padrão elevado. Pense em um caso típico: o proprietário do site delega algumas tarefas a um prestador de serviços externo que precisa ter permissão para criar conteúdo. Esse prestador pode criar a postagem pendente com a tag de modelo vulnerável e o mecanismo de exfiltração. Após a visualização da postagem por um membro da equipe interna ou administrador, o token de redefinição de senha da conta de administrador é gerado e exfiltrado para o servidor controlado pelo atacante.
Em outras palavras, qualquer pessoa que já tenha recebido acesso de colaborador ao site e cuja conta nunca tenha sido desativada representa um vetor de ataque potencial.
A falha técnica específica
Do ponto de vista técnico, a essência desta vulnerabilidade reside no tratamento incorreto da tag de modelo {usermeta:password_reset_link} dentro do shortcode [um_loggedin]. Assim que o shortcode é renderizado, ele gera o token de redefinição de senha para o usuário atualmente conectado que está visualizando a página.
A exploração utiliza essa falha para criar a postagem maliciosa pendente para o atacante autenticado com direitos de acesso de nível de colaborador. Após a pré-visualização da postagem pelo administrador, o token de redefinição de senha da conta do administrador é criado e exfiltrado para o servidor do atacante, concedendo-lhe, assim, controle total sobre a conta do WordPress.
A correção consiste na modificação do arquivo de função principal do plugin para verificar corretamente o contexto da geração de tokens de redefinição de senha e impedir a execução da tag de modelo no conteúdo gerado pelo usuário.
A atualização já está disponível.
Essa vulnerabilidade afeta todas as versões do Ultimate Member, da versão 2.0.0 até a versão 2.11.4. A correção está disponível na versão 2.12.0 e adiciona uma validação mais rigorosa para o gerenciamento do diretório de membros e para os campos de dados de usuário permitidos.
Se você utiliza este plugin em seu site WordPress, deve atualizá-lo imediatamente para a versão 2.12.0 ou posterior. Esta atualização está disponível no painel de plugins do WordPress e pode ser aplicada com apenas alguns cliques.
Medidas a serem tomadas além da atualização
Embora a atualização para a versão 2.12.0 resolva o problema, ainda existem alguns pontos que podem ser úteis para aumentar a segurança do seu site.
Verifique a lista de seus usuários no nível de colaborador e desative todos os usuários inativos ou que não deveriam mais ter acesso ao seu site. Isso pode incluir aquele redator freelancer ou redator convidado cuja conta foi deixada aberta após a conclusão do trabalho.
Além disso, verifique o painel do WordPress em busca de contas administrativas incomuns, alterações de senha e modificações de configuração que não foram feitas por você.
A autenticação de dois fatores pode ser considerada uma medida adicional para contas de administrador e editor. Mesmo que um link para redefinição de senha seja exposto em algum cenário futuro, a autenticação de dois fatores adiciona uma segunda camada que um invasor ainda precisaria contornar.
Preste atenção às publicações pendentes, principalmente se o site tiver mais de um autor. Nesse caso, um atacante pode explorar uma publicação pendente criada maliciosamente, o que justifica a cautela na pré-visualização.
Perguntas frequentes
Pergunta 1: Qual é a vulnerabilidade do plugin Ultimate Member para WordPress?
Trata-se de uma vulnerabilidade de segurança crítica, classificada com 8.8 em 10, que permite que qualquer atacante autenticado com nível de colaborador revele um link de redefinição de senha para qualquer conta de usuário no sistema, incluindo a de um administrador, obtendo assim o controle sobre a conta alvo.
Pergunta 2: Quantos sites WordPress são afetados?
Estima-se que até 200,000 sites WordPress que utilizam o Ultimate Member estejam vulneráveis a essa falha devido à execução de uma versão defeituosa do plugin.
Pergunta 3: Os atacantes precisam já ter acesso ao site para explorar essa vulnerabilidade?
Sim. Trata-se de uma vulnerabilidade que requer autenticação, o que significa que um atacante precisa obter, no mínimo, acesso de nível colaborador para explorá-la.
Q 4: Quais versões do plugin são vulneráveis?
Todas as versões do Ultimate Member até a versão 2.11.4, inclusive, são vulneráveis a essa falha.
P 5: Existe alguma solução disponível?
Sim. A versão mais recente do plugin – 2.12.0 – inclui uma correção que resolve o problema com melhorias no gerenciamento do diretório de membros e na validação dos campos de dados do usuário.
Pergunta 6: Como o ataque funciona na prática?
Um atacante com permissões de colaborador cria uma publicação usando uma tag de modelo vulnerável. A visualização da publicação em questão por um administrador resulta no envio de um token de redefinição de senha para o atacante. Com esse token, ele pode alterar a senha e obter controle total sobre o site alvo.
Pergunta 7: O que devo fazer se achar que meu site já foi comprometido?
Procure por contas de administrador suspeitas, alterações de senha e outros sinais de atividade não autorizada na sua área administrativa do WordPress. Desconecte todos os usuários e force a redefinição de senha para eles.
P 8: Um firewall de aplicações web pode ajudar a proteger contra isso?
Sim. Plugins de segurança com firewall, como o Wordfence, podem ajudar você a definir regras que protegerão seu site contra esse tipo de ataque. Isso é especialmente útil quando a atualização do plugin não é possível por algum motivo.
Pergunta 9: Por que é perigoso ter contas de colaboradores antigas em um site WordPress?
Contas antigas de colaboradores que não foram excluídas podem servir como uma porta de entrada fácil para o seu site. Qualquer pessoa que já teve acesso ao site no passado ainda pode usar essas contas para fazer login e explorar essa vulnerabilidade para obter privilégios de administrador.
P 10: Onde posso obter mais informações sobre essa vulnerabilidade?
Os detalhes completos da vulnerabilidade são fornecidos no Wordfence Threat Intelligence Advisory. Há também um artigo sobre o assunto no Search Engine Journal.
