WordPress Redux Framework CVE-2021-38314信息泄露漏洞影响全球数百万网站

漏洞信息

Redux Framework组件是WordPress非常流行的一款后台框架，全球有超百万级网站使用了该框架：

2021年8月爆出Redux Framework存在未授权的敏感信息泄露漏洞，CVE编号为CVE-2021-38314，影响v4.2.11及以下版本，可导致网站一些敏感信息泄露。

漏洞分析

Redux Framework插件在`redux-core/class-redux-core.php`的`includes`函数中注册了几个可未授权访问的AJAX操作接口：

其中，参数`$hash_arg`是基于URL地址和`-redux`结合计算出来的md5值，然后通过`add_action`注册完成`'wp_ajax_nopriv_' . $hash_arg`的AJAX请求，会触发`hash_arg`函数（位于`\redux-core\inc\classes\class-redux-helpers.php`中）：

以架设的研究环境为例，首先生成md5：

md5_url='{url}/-redux'.format(url=url)md5=hashlib.md5(md5_url).hexdigest()print md5

构造请求访问将返回Hash值：

基于上述返回的Hash值，再次构造`'wp_ajax_' . $support_hash`AJAX请求，并附加`-support`参数，将触发`support_args`函数进行处理：

该函数将返回站点配置、WordPress版本、PHP版本、数据库版本、安装插件版本等大量敏感信息：

这些信息给攻击者利用WordPress组件漏洞实施攻击提供了重要参考，具有较大危害性。

修复方式

在v4.2.12版本中直接注释掉了注册AJAX的相关代码：