Im DSGVO-Plugin WP GDPR Compliance für das Content-Management-System Wordpress haben Security-Analysten eine gravierende Sicherheitslücke entdeckt.

Um diverse Schadsoftware auf infizierten Seiten zu installieren, konnten Angreifer über die Lücke eigene Konten mit Administratorrechten erstellen. Das berichtet der Blog des Security-Unternehmens Wordfence.

Die Lücke betrifft Versionen 1.4.2 und älter. Ein Patch, welcher das Problem beheben soll, wurde bereits 100.000 mal gedownloadet. Hierbei wird klar, dass viele Webseitenbetreiber davon betroffen waren. Der Patch sollte so schnell wie möglich installiert werden, da Wordfence bereits einige so infizierte Seiten ausmachen konnte.

Das Problem liegt in der Case-Auswahl mit Namen save_setting. Ob die ausführende Instanz die notwendigen Rechte zum Eingeben von Werten besitzt, wird hierbei von der Aktion nicht überprüft. Angreifer können so beliebige Eingaben in der Options-Tabelle einer betroffenen Webseite eintragen. Durch das Ausführen der Methode update_option führt die Aktion zudem mit diesen Parametern beliebige Wordpress-Aktionen mit do_action($option, $value) aus.

Obwohl die beiden Methoden als jeweils eigenständige Sicherheitslücken identifiziert werden, führen sie zusammen dennoch zum gleichen Ergebnis. Indem Angreifer die Standardrolle für neu angelegte Nutzerkonten auf Administrator setzen und die Erstellung neuer Konten auf der Webseite erlauben, konnten einige Angreifer sich so bereits eigene Konten mit erhöhten Rechten erstellen.

So konnten die Verfasser des Artikels auf Wordfence beispielsweise Administratorkonten mit Namen wie t2trollherten entdecken. Böswilliger PHP-Code mit der Bezeichnung wp-cache.php wurden dann von diesen Konten hochgeladen. Es ist nicht klar, wie sich diese Anwendungen verhalten. Mit Administratorrechten ist allerdings theoretisch viel möglich, wie beispielsweise das Abgreifen von Zahlungsdaten, Passwörtern oder von personenbezogenen Daten, die in eine infizierte Datenbank hochgeladen werden.

(jf, hannover)

(siehe auch golem.de:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE