wordpress 4.9.6 任意文件删除漏洞修复方法


RIPS 团队公开了 wordpress 4.9.6 以及 4.9.6 之前版本存在的任意文件删除漏洞,通过该漏洞,具有登录上传附件权限的用户可以删除网站上任意的文件,该漏洞在 4.9.7 版本被修复,如果正在使用 wordpress 4.9.7 以下版本的用户可以更新到最新版本修复该漏洞,不想更新的站长可以通过下面的方法修复。

漏洞原理与危害

由于 WordPress 文件 wp-includes/post.php 中的函数 wp_delete_attachement() 在接收删除文件参数时未进行安全处理,直接进行执行导致该漏洞的出现。

function wp_delete_attachment( $post_id, $force_delete = false ) {
    ...
    $meta = wp_get_attachment_metadata( $post_id );
    ...
    if ( ! empty($meta['thumb']) ) {
        // Don't delete the thumb if another attachment uses it.
        if (! $wpdb->get_row( $wpdb->prepare( "SELECT meta_id FROM $wpdb->postmeta WHERE meta_key = '_wp_attachment_metadata' AND meta_value LIKE %s AND post_id <> %d", '%' . $wpdb->esc_like( $meta['thumb'] ) . '%', $post_id)) ) {
            $thumbfile = str_replace(basename($file), $meta['thumb'], $file);
            /** This filter is documented in wp-includes/functions.php */
            $thumbfile = apply_filters( 'wp_delete_file', $thumbfile );
            @ unlink( path_join($uploadpath['basedir'], $thumbfile) );
        }
    }
    ...
}

代码可见,在 wp_delete_attachement() 中,unlink() 传入的 $meta['thumb'],未经过任何过滤处理直接被调用。

这段代码的目的是为了在删除图像的同时删除图像的缩略图。在 wp_delete_attachement() 函数中,$meta['thumb'] 的值从数据库中检查,并保存成表示图像的文章自定义字段,但是如果代码不对 $meta['thumb'] 的内容进行任何检查和过滤,就会导致利用该功能执行任意文件删除的操作。

...
switch($action) {
...
    case 'editattachment':
        check_admin_referer('update-post_' . $post_id);
        ...
        // Update the thumbnail filename
        $newmeta = wp_get_attachment_metadata( $post_id, true );
        $newmeta['thumb'] = $_POST['thumb'];
 
        wp_update_attachment_metadata( $post_id, $newmeta );
...

/wp-admin/post.php 后面的代码片段,如上图,可以看到附件中属于附件的缩略图文件名如何保存到数据库中。在从用户传值并赋给 $_POST['thumb'] 数到保存到数据库 wp_update_attachment_metadata() 函数执行之间,没有安全措施来确保这个值为真正是在编辑的附件缩略图。

$_POST['thumb'] 可以变为任意文件的路径,这个值可以保存到 WordPress 上传目录的相对路径中,当附件被删除时,该文件将被删除。

修复方法

方法一:把 wordpress 升级到 4.9.7 或以上版本。

方法二:把下面的代码放到当前使用主题的 functions.php 文件中:

add_filter( 'wp_update_attachment_metadata', 'rips_unlink_tempfix' );
function rips_unlink_tempfix( $data ) {
    if( isset($data['thumb']) ) {
        $data['thumb'] = basename($data['thumb']);
    }
 
    return $data;
}

<< 升级到 WordPress 5.0 并屏蔽 Gutenberg 古腾堡编辑器