Betroffen sind alle Versionen von Breeze Cache bis einschließlich 2.4.4. Cloudways hat den Fehler nach eigenen Angaben in der Version 2.4.5 behoben, die in dieser Woche erschienen ist. Wer das Plugin einsetzt, sollte nach Einschätzung der Forscher so schnell wie möglich auf diese Version umsteigen.
Die technische Ursache liegt laut den Fachleuten von Defiant in einer fehlenden Validierung des Dateityps innerhalb der Funktion „fetch_gravatar_from_remote". Über diese Schwachstelle kann ein Angreifer ohne Authentifizierung beliebige Dateien auf den Server laden. Das eröffnet den Weg zu Remote Code Execution und damit zur kompletten Kontrolle über die betroffene Website.
Entscheidend für die Ausnutzbarkeit ist eine konkrete Konfiguration: Der Angriff funktioniert nur, wenn die Zusatzkomponente „Host Files Locally – Gravatars" eingeschaltet ist. Diese ist im Auslieferungszustand nicht aktiv. Wie viele Websites tatsächlich angreifbar sind, lässt sich deshalb nicht beziffern, da keine Daten dazu vorliegen, auf wie vielen Installationen diese Option aktiviert wurde.
Nach Zahlen von WordPress.org wurde das Plugin seit dem Erscheinen der jüngsten Version rund 138.000 Mal heruntergeladen. Die mehr als 170 von Wordfence erfassten Ausnutzungsversuche zeigen, dass Angreifer die Lücke bereits gezielt einsetzen.
Lässt sich ein Update kurzfristig nicht einspielen, raten die Forscher als Übergangsmaßnahme dazu, das Plugin vorübergehend zu deaktivieren oder zumindest die Funktion „Host Files Locally – Gravatars" abzuschalten, um die Angriffsfläche zu schließen.