La fonction permettant l’envoi de mail par WordPress, PHPMailer, est compromise, il n’y a pas encore de correctifs à l’heure actuelle.
PHPMailer peut faire l’objet de commandes SHELL et éxecuter du code malveillant
Cette faille est pour l’instant très récente, si récente que WordPress n’a pas encore publié de correctif, mais les équipes en charge du développement sont actuellement en train de plancher sur un patch ou une mise à jour pour combler cette faille qui pourrait compromettre tous les sites fonctionnant sous wordpress s’ils venaient à tomber entre de mauvaises mains.
La vulnérabilité a été annoncé hier sur le site legalhackers.com et depuis, quelqu’un a posté une preuve de concept (proof of concept) sur exploiter-db et à Github. Il faut relativiser, car dans les faits, il ne s’agit que d’une façon de montrer que la faille RCA est bien là et fonctionne, mais cette preuve de concept ne permet pas pour l’instant d’exploiter la faille sur l’ensemble des sites wordpress. Pour cela, il faudra que les pirates développent son propre script. Ce qui n’est pas forcément compliqué pour la plupart d’entre eux.
Cette faille, si elle venait à être exploité, permettrait de prendre le contrôle complet d’un site internet en modifiant l’expéditeur du mail lors d’un envoi via la fonction mail située au cœur de wordpress, phpmailer. Cet expéditeur pourrait être remplacé par des commandes SHELL, ce qui obligerait donc wordpress à lancer un bout de code qui pourrait donc compromettre le site visé. Pour l’heure aucun correctif officiel, mais connaissant les équipes de wordpress, il ne fait aucun doute qu’il ne tardera pas.
Pour les impatients, il est possible de recoder cette fonction PHPmailer vous-même, si vous vous y connaissez suffisant dans langage PHP. Il suffit de suivre l’image d’illustration ci-dessous.
Cliquez pour agrandir