مکانیزم Click2Shell برای نصب خودکار قالب
قالبی که در نتیجه این حمله نصب می‌شود، غیرفعال باقی می‌ماند؛ بنابراین ظاهر سایت تغییر نمی‌کند و نصب قالب نیز برای کاربر قابل تشخیص نخواهد بود. بااین‌حال، اجرای کد به یک آسیب‌پذیری جداگانه در همان قالب نصب‌شده نیاز دارد. پژوهشگران pwn.ai نیز تأکید کرده‌اند که آسیب‌پذیری هسته وردپرس به‌تنهایی امکان نصب یک فایل ZIP دلخواه برای قالب را فراهم نمی‌کند.
مکانیزم این حمله بر پایه تفاوت در نحوه پردازش یک لینک در دو بخش وردپرس شکل گرفته است. در Click2Shell، مخزن WordPress.org مقدار موجود در لینک را به‌عنوان نام یک قالب در نظر می‌گیرد و قالب متناظر با آن را برای نصب در اختیار وردپرس قرار می‌دهد. در مقابل، مرورگر ادمین همان متن اصلی لینک، ازجمله کاراکترهای اضافه‌شده توسط مهاجم، را در کدی قرار می‌دهد که برای انتخاب یک گزینه مشخص در صفحه استفاده می‌شود.
مهاجم با اضافه کردن کاراکترهای خاص به لینک می‌تواند این کد را به سمت گزینه نصب (Install) هدایت کند. سپس اسکریپت خود وردپرس این گزینه را به‌صورت خودکار اجرا می‌کند و فرآیند نصب قالب آغاز می‌شود.
از آنجا که ادمین پیش از باز کردن لینک وارد حساب کاربری خود شده است، نشست کاربری او مجوز لازم برای نصب قالب و توکن امنیتی موردنیاز این فرآیند را در اختیار دارد. بنابراین، مهاجم برای تکمیل نصب نیازی به ارائه مجوز یا توکن امنیتی جداگانه ندارد.
نقش قالب آسیب‌پذیر در اجرای کد
قالب نصب‌شده حتی اگر فعال نباشد، ممکن است در برخی فرآیندهای وردپرس اجرا شود. برای مثال، وردپرس هنگام نمایش نسخه آزمایشی سایت در ابزار سفارشی‌سازی (Customizer) ممکن است کدهای PHP قالب را حتی پیش از فعال شدن آن بارگذاری و اجرا کند.
پژوهشگران pwn.ai برای آزمایش Click2Shell از قالب Mobile Repair Zone استفاده کردند. این قالب یک آسیب‌پذیری جداگانه داشت که به بخش پردازش پس‌زمینه (Background Handler) مربوط می‌شد. این بخش بدون اینکه مجوز کاربر یا توکن امنیتی را بررسی کند، امکان دریافت آدرس وب موجود در درخواست، دانلود پکیج موردنظر و اجرای کدهای موجود در آن را فراهم می‌کرد.
در نتیجه، مهاجم پس از نصب اجباری قالب می‌توانست از این آسیب‌پذیری دوم برای ادامه زنجیره حمله استفاده کند و در نهایت کد دلخواه خود را روی سرور اجرا نماید.
شدت آسیب‌پذیری و وضعیت پچ
پژوهشگران، آسیب‌پذیری نصب اجباری قالب را به‌تنهایی با شدت بالا ارزیابی کرده و امتیاز 7.1 از 10 در معیار CVSS را به آن اختصاص داده‌اند. اگر این آسیب‌پذیری با یک ضعف امنیتی جداگانه در قالب نصب‌شده زنجیره شود، می‌تواند منجر به اجرای کد شود؛ در این حالت، شدت کل زنجیره حمله بحرانی و امتیاز آن 9.6 از 10 خواهد بود.
وردپرس تاکنون امتیاز CVSS مستقلی برای آسیب‌پذیری Click2Shell اعلام نکرده است. در اطلاعیه وردپرس، این آسیب‌پذیری به‌عنوان قابلیتی برای نصب و نمایش خودکار یک قالب غیرفعال از WordPress.org پس از باز شدن URLهای خاص توصیف شده است. همچنین تاکنون شناسه CVE برای این آسیب‌پذیری ثبت نشده است؛ بااین‌حال، pwn.ai اعلام کرده که وردپرس قصد دارد در ادامه یک شناسه CVE برای آن ثبت کند.
وردپرس این آسیب‌پذیری را در نسخه 7.1.1 برطرف کرده است. این پچ امنیتی برای شاخه‌های پشتیبانی‌شده وردپرس نیز منتشر شده و نسخه‌های قدیمی‌تر تا 4.7 را پوشش می‌دهد. بر اساس اطلاعات منتشرشده از سوی وردپرس، این آسیب‌پذیری از نسخه 6.0 تا نسخه‌های پیش از 7.1.1 را تحت تأثیر قرار می‌دهد.
ادمین‌های سایت باید نسخه 7.1.1 یا پچ امنیتی متناسب با نسخه وردپرس مورد استفاده خود را نصب کنند. در سایت‌هایی که قابلیت به‌روزرسانی خودکار فعال است، این پچ به‌صورت خودکار نصب خواهد شد.
وردپرس و pwn.ai تاکنون راهکار موقت مشخصی برای مقابله با این آسیب‌پذیری ارائه نکرده‌اند. بااین‌حال، اجرای این حمله مستلزم آن است که ادمین در حساب کاربری خود وارد شده باشد و لینک دست‌کاری‌شده مهاجم را باز کند.
با توجه به اینکه آسیب‌پذیری در هسته وردپرس قرار دارد، به‌روزرسانی هسته وردپرس برای مسدود کردن این مسیر حمله کافی است و نوع قالب نصب‌شده روی سایت در این حمله تأثیری ندارد.
آسیب‌پذیری‌های مشابه Click2Shell در وردپرس
Click2Shell تنها آسیب‌پذیری هسته وردپرس نیست که pwn.ai طی هفته‌های اخیر شناسایی کرده است. این شرکت در ماه آگوست نیز یک آسیب‌پذیری مشابه را در صفحه ورود وردپرس شناسایی کرد که امکان زنجیره شدن با یک آسیب‌پذیری دیگر و در نهایت اجرای کد را داشت. وردپرس در توضیحات خود، دامنه اثرگذاری این ضعف امنیتی را محدودتر از ارزیابی پژوهشگران توصیف کرده بود.
در مقابل، آسیب‌پذیری wp2shell که در ماه جولای در هسته وردپرس شناسایی و افشا شد، ارتباطی با تحقیقات pwn.ai ندارد. wp2shell برای اجرای حمله به ورود کاربر یا کلیک نیاز ندارد و مهاجم می‌تواند بدون احراز هویت از آن سوءاستفاده کند. آژانس امنیت سایبری و زیرساخت آمریکا (CISA) نیز این آسیب‌پذیری را در فهرست KEV قرار داده است. در مورد Click2Shell، تاکنون گزارشی از سوءاستفاده در حملات واقعی منتشر نشده است.
