Seit Version 3.7 verteilt das Content Management System (CMS) WordPress wichtige Updates vollautomatisch. Diese Funktion ist standardmäßig aktiviert und wird von einem Großteil der Nutzer des CMS genutzt, falls die Hosting-Umgebung der WordPress-Installation dies zulässt.

Von Sicherheitsexperten werden die Auto-Updates von WordPress als äußerst positiv bewertet, da dadurch die Kernfunktionen der Software mit aktuellen Sicherheitsupdates auf dem neuesten Stand gehalten wird, ohne dass der Nutzer sich darum aktiv kümmern muss.

Die Funktion birgt allerdings auch ein signifikantes Risiko. Wenn es einem Angreifer gelänge, die Kontrolle über die WordPress-Server zu übernehmen, könnte er über die Funktion auf Millionen von vielbesuchten Webseiten Schadcode installieren.

WordPress benutzt nun ab der aktuellen Version 5.2 sogenannte Offline Digital Signatures, um die Auto-Update-Pakete abzusichern. Mit dem Update bekommt dabei jede WordPress-Installation einen öffentlichen Schlüssel übermittelt, mit dem sie in Zukunft die digital signierten WordPress-Update-Dateien überprüfen kann. Mit einem geheimen Schlüssel, zu dem nur das Kern-Entwicklerteam von WordPress Zugang hat, werden die Dateien signiert. Das soll Angreifer, die von außen Zugriff auf die Update-Server bekommen, daran hindern, ihren eigenen Code an WordPress-Nutzer verteilen zu können.

(jf, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE