WordPress Core SQL注入缝隙(CVE-2022–21661)分析

颁布功夫 2022-01-25

缝隙概述


WordPress是目前全球盛行的三大内容治理系统之一，其主题�？椋–ore）出现缝隙的情况相对较少。近期，WordPress主题�？楸慌洞嬖谝淮QL注入缝隙(CVE-2022–21661)。针对该高危缝隙，GA黄金甲ADLab钻研员第一功夫进行了具体分析和验证。


受影响版本


受影响版本：WordPress < 5.8.3


缝隙分析


通过比力github上的源代码，能够发现缝隙的地位是clean_query函数。在5.8.2及之前的老版本中，该函数的关键代码如下。


代码如下.png


在clean_query函数中，当传递进来的$query满足以下两个前提：

$query['taxonomy']为空 ；

$query['filed']的值蹬宗term_taxonomy_id。


WordPress的执行就会进入580行，挪用transform_query函数。跟进该函数，满足602行，不做任何措施直接return，维持了terms的值不受扭转。


代码如下.png


全局搜索clean_query，其被get_sql_for_clause函数挪用。阅读该步骤的代码可知，它的职能是为sql查问中的前提创建子句。具体来说，它的工作是处置接管到的数据，将这些数据组合成SQL 查问中的前提，而后将其返回给父函数。所以，若是能够节造clean_query的返回数据，就能够节造SQL查问进行注入。


在get_sql_for_clause中能够找到$terms变量被拼接到sql语句中。


代码如下.png


从get_sql_for_clause步骤持续回溯，挪用栈如下：


代码如下.png


在get_posts()中能够找到对WQ_Tax_Query->get_sql()的挪用。


代码如下.png


通过回溯挪用栈可知，通过节造WP_Query->__construct()中的属性，就能够造成sql注入。


缝隙复现


通过度析WordPress的源码发现，WordPress主题代码中不存在能够触发该缝隙的挪用点。为了验证该缝隙，这里使用了Ele Custom Skin插件做缝隙复现，这也是ZDI给出的存在产生缝隙挪用的插件样例。


EleCustom Skin插件装置量在10万以上，且其存在的缝隙挪用是无需登录的。该插件存在步骤get_document_data()，其主题代码如下：


代码如下.png

代码如下.png 

全局搜索get_document_data，该步骤被注册的action名字如下。


代码如下.png


因而，该缝隙在这个插件是存在触发蹊径的�？鬱ebug职能后，机关报文即可成功注入出数据库user。


代码如下.png


盛行插件分析


为了分析该缝隙的现实影响，ADLab钻研员还对WordPress前100个盛行插件进行了分析，发显熹中2个插件也存在该缝隙。


开启debug，机关报文即可成功注入出数据库user。


建复规划


目前WordPress已颁布升级补丁以建复缝隙，补丁获取链接如下：


https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-6676-cqfm-gw84


参考链接：

https://www.zerodayinitiative.com/blog/2022/1/18/cve-2021-21661-exposing-database-info-via-wordpress-sql-injection