WordPress Core

Die Schwachstelle steckt im Kern von WordPress, genauer im Ablauf der vollständigen Aktualisierung der Kernsoftware. Während eines solchen Upgrades legt WordPress die zu installierenden Dateien vorübergehend in Zwischenverzeichnissen ab. Diese Ablagepfade sind vorhersehbar und zugleich über das Web erreichbar. Daraus ergibt sich eine Wettlaufsituation nach dem Muster „Prüfzeitpunkt gegen Nutzungszeitpunkt“ (TOCTOU): Zwischen dem Moment, in dem die abgelegten Dateien geprüft beziehungsweise bereitgestellt werden, und dem Moment ihrer Verwendung kann ein Angreifer eingreifen. Da weder Zugangsdaten noch eine Anmeldung nötig sind, kann ein beliebiger Angreifer aus dem Internet genau in diesem Zeitfenster eigenen Code auf dem Server zur Ausführung bringen und damit die betroffene Website übernehmen. Das Angriffsfenster ist auf die Dauer des Upgrades begrenzt, steht aber jedem offen, der den Vorgang beobachtet oder abpasst. Betroffen sind Installationen, die die Kernaktualisierung als Komplettpaket durchführen.