THEMIS: Neues Fuzzing-Tool, um Sicherheitslücken in WordPress-Plugins zu finden
Fuzzing ist eine weitverbreitete Methode, um Sicherheitslücken in Programmen aufzudecken. CISPA-Forscher Matteo Leonelli stellt mit THEMIS ein neues Fuzzing-Framework vor, das Sicherheitslücken in WordPress-Plugins aufdecken soll. Seine Studie fand 10 bisher unbekannte Sicherheitslücken und reproduzierte 27 bekannte Lücken. Das Auffinden der Schwachstellen ging im Vergleich zu bestehenden Verfahren im Durchschnitt schneller. Das dazugehörige Paper „THEMIS: Context-Aware Grey-box Fuzzing for WordPress Plugins” wurde auf der Euro&SP in Lissabon vorgestellt.
WordPress ist eines der am weitesten verbreiteten Content-Management-Systeme für Webseiten. Um die Funktionalitäten von Webseiten an individuelle Bedürfnisse anzupassen, sind Plugins bei Programmierenden und Nutzenden sehr beliebt. „Es gibt sehr viele Plugins, mit denen man beispielsweise Kalender oder andere Funktionen in eine Website integrieren kann“, erklärt CISPA-Forscher Matteo Leonelli. „Das bringt allerdings den Nachteil mit sich, dass Code eingebunden wird, von dem man oft nicht weiß, wie er getestet wurde und ob er sicher ist. Das Problem ist, dass viele Entwickler:innen sich stärker auf Funktionalität als auf Sicherheit konzentrieren“.Das macht Plugins zu einer wichtigen Angriffsfläche für Sicherheits- und Logikfehler im WordPress-Ökosystem. Da bestehende Web-Fuzzer Schwierigkeiten haben, die komplexen und kontextabhängigen Ausführungswege moderner Content-Management-Systeme wie WordPress zu erreichen, hat der CISPA-Forscher zusammen mit seinen Kolleg:innen ein neues Fuzzing-Tool entwickelt.
Kontextabhängiges Fuzzing mit THEMIS
„Wir haben entschieden, uns nicht auf den WordPress-Kern zu konzentrieren, sondern auf den Code der spezifischen Plugins“, so Leonelli. „Wir versuchen also, die Plugin-Logik gezielt zu untersuchen und alles andere möglichst auszublenden.“Dafür erweiterte der Forscher für THEMIS das von seinen Kolleg:innen entwickelte Fuzzing-Framework ATROPOS um mehrere speziell auf WordPress zugeschnittene Komponenten: eine domänenspezifische Instrumentierung des WordPress-Kerns, einen adaptiven Fuzzing-Harness, der unterschiedliche Plugin-Einstiegspunkte automatisch erkennt und anspricht, sowie eine speziell entwickelte Bug-Oracle zur Erkennung WordPress-typischer Schwachstellen. „Dabei verwenden wir eine Oracle-Komponente, die den Datenverkehr zwischen den beiden Logikbereichen – dem WordPress-Kern und der Plugin-Oberfläche – überwacht“, erklärt Leonelli. Ziel ist es, den Fuzzer gezielt in sicherheitsrelevante Programmteile zu führen und dort Schwachstellen aufzudecken. THEMIS konzentriert sich dabei auf serverseitige Schwachstellen. Bestimmte clientseitige Sicherheitslücken, etwa XSS, kann das System derzeit nicht erkennen.
Das Tool im Praxistest
Zur Evaluation untersuchte Leonelli 68 reale WordPress-Plugins. Dabei reproduzierte THEMIS 27 bekannte Sicherheitslücken und identifizierte zusätzlich 10 bislang unbekannte Schwachstellen, die vor Veröffentlichung an die betroffenen Entwickler gemeldet wurden. Drei davon erhielten eine eigene CVE-Kennung.Im direkten Vergleich mit ATROPOS fand THEMIS Sicherheitslücken schneller, erreichte eine höhere Abdeckung des Plugin-Codes und identifizierte mehr relevante Fehler. Einschränkungen gab es hinsichtlich der False-Positives. „Hier gibt es einen Zielkonflikt“, erklärt Leonelli. „Man kann weniger Fehler finden und dafür sicherer sein, dass die gefundenen Fehler korrekt sind. Oder man akzeptiert etwas weniger Sicherheit und kann dadurch möglicherweise auch Edge Cases mit einem bestimmten Schwellenwert erkennen.“ Neben den False-Positives gibt es auch bei der Skalierbarkeit noch Verbesserungspotenzial. Eine weitere wichtige Herausforderung beim Fuzzing im Web ist die Geschwindigkeit der Ausführung. „Jedes Mal, wenn eine Anfrage gesendet wird, muss sie zunächst erzeugt, an den Server geschickt, dort ausgeführt und anschließend zurückgesendet werden“, so der Forscher. „Deshalb ist Web-Fuzzing grundsätzlich langsamer als traditionelles Fuzzing.“
Ausblick
Leonelli zeigt mit seiner Studie auf, dass existierende allgemeine Web-Fuzzer bei der Untersuchung von komplexen Plugin-Ökosystemen an Grenzen stoßen. Stattdessen weist er nach, dass eine kontextbewusste, auf die Architektur von WordPress zugeschnittene Analyse bessere Ergebnisse erzielen kann. Mit THEMIS liefert er einen Ansatz für die automatisierte Sicherheitsprüfung großer Plugin-Ökosysteme. THEMIS ist auf GitHub veröffentlicht, sodass Entwickler:innen es installieren und den Anweisungen im Repository folgen können. „Sie können damit ihr Plugin in die Infrastruktur integrieren und testen, ob sich in ihrem Plugin Sicherheitslücken finden lassen“, so Leonelli. Zukünftig will er sich stärker Projekten widmen, die eine Schnittstelle zwischen Client- und Serverseite herstellen. Darüber hinaus kann er sich vorstellen, THEMIS auch auf andere Content-Management-Systeme anzupassen, wenn die Voraussetzungen erfüllt sind.
Ziel: Die Studie konzentriert sich auf Sicherheitslücken in WordPress-Plugins, mit besonderem Augenmerk auf serverseitige Schwachstellen.
Ansatz: Die Forschenden entwickelten THEMIS, ein kontextsensitives Grey-Box-Fuzzing-Framework, das speziell auf WordPress zugeschnitten ist. Sie evaluierten es anhand von 68 realen Plugins.
Ergebnisse: THEMIS konnte 27 bekannte Schwachstellen erfolgreich reproduzieren und entdeckte 10 bislang unbekannte Schwachstellen.
Impact: Die Ergebnisse zeigen das Potenzial von kontextsensitivem Fuzzing, um automatisierte Sicherheitstests in großen und vielfältigen WordPress-Plugin-Ökosystemen zu verbessern.
