Anzeige
Backoor im Piwik-Code aufgetaucht
Backoor im Piwik-Code aufgetaucht (Bild: Piwik)

Webanalyse Backdoor in Piwik

Die freie Web-Analyse-Software Piwik enthielt eine Hintertür, die es Angreifern ermöglichte, beliebigen PHP-Code auf einem Server auszuführen. Mittlerweile steht eine korrigierte Version zum Download bereit.

Anzeige

Die Piwik-Macher haben die kompromittierte Version von Piwik 1.9.2 gegen eine korrigierte Version ausgetauscht. Dem Golem.de-Leser Max Grobecker war in der Datei /piwik/core/Loader.php ein ungewöhnlicher Codeblock aufgefallen. Der mit Base64 codierte und mit gzip komprimierte Code sendet den Hostnamen und die Piwik-URL des jeweiligen Servers an einen Server und legt im selben Verzeichnis die Datei lic.log ab, die das Wort "piwik" enthält. Solange diese Datei existiert, werden laut Grobecker keine Anfragen mehr an den besagten Server geschickt, vermutlich um die Last auf dem System so gering wie möglich zu halten.

Darüber hinaus wird eine Backdoor geöffnet, mit der der Angreifer beliebigen PHP-Code auf dem Server ausführen kann, die notwendige URL schickt das System schließlich an dessen Server. Dazu wird ein regulärer Ausdruck mit /e-Modifikator verwendet. So ist es beispielsweise möglich, den Inhalt von htpasswd-Dateien anzuzeigen oder eine eigene PHP-Datei irgendwo innerhalb des Webspaces abzulegen und darin eigenen Code auszuführen, sofern der Webserver über Schreibrechte verfügt.

Das Problem wird lediglich im Piwik-Forum diskutiert, eine entsprechende prominente Warnung findet sich auf der Piwik-Website bislang nicht. Wer Piwik in der letzten Zeit installiert hat, sollte seine Installation prüfen. Zudem ist unklar, wie der entsprechende Code im offiziellen Piwik-Archiv landen konnte.

Nachtrag vom 27. November 2012, 13:35 Uhr

Die Piwik-Entwickler haben mittlerweile einen "Security Report" zu dem Vorfall veröffentlicht. Demnach wurde der Piwik-Webserver am gestrigen 26. November kompromittiert und das Zip-Archiv mit der aktuellen Piwik-Version ausgetauscht. Demnach stand die von dem Angreifer modifizierte Version der Software nur für einige Stunden zum Download bereit.

Wer Piwik gestern zwischen 16:43 Uhr und Mitternacht heruntergeladen hat, sollte seine Installation prüfen; wer die Software davor oder danach heruntergeladen hat, sollte sicher sein. Woran eine kompromittierte Installation zu erkennen ist, beschreiben die Piwik-Macher in ihrem Sicherheitsbericht.

Der Angriff auf den Piwik-Server erfolgt dem Bericht zufolge durch eine Sicherheitslücke in einem Wordpress-Plugin, das auf der Seite eingesetzt wurde.


mbirth 28. Nov 2012

Mein Update war am 24.11. 20:27 Uhr und dort ist die Loader.php auch sauber.

Lala Satalin... 27. Nov 2012

Und Windows?

berritorre 27. Nov 2012

Was ist denn das für eine Aussage? Surprise, surprise! Natürlich wird die Serverlast...

Kommentieren


Bernd & Björn's Blog / 27. Nov 2012

Piwik - Beliebte Web analytics Software kompromittiert



Anzeige

  1. Funktionsentwicklung / Algorithmenentwicklung für Parkassistenzsysteme
    Robert Bosch GmbH, Leonberg
  2. Linux-Administrator (m/w) mit Schwerpunkt Automation
    BG-Phoenics GmbH, München
  3. SAP Anwendungsentwickler (m/w) HCM
    Dürr IT Service GmbH, Bietigheim-Bissingen
  4. Department Manager Applikationsentwicklung Emission (m/w)
    AVL List GmbH, Graz (Österreich)

Detailsuche


Hardware-Angebote
  1. NEU: Huawei Honor 7 mit 25 € Preisnachlass
    Gutscheincode HUAWEI25
  2. TIPP: Alternate Schnäppchen Outlet
    (täglich neue Deals)
  3. EVGA GeForce GTX 980 Ti Superclocked ACX 2.0+
    679,00€ statt 749,90€

Weitere Angebote


Folgen Sie uns
       


  1. Daybreak Game Company

    Zombiespiel H1Z1 wird aufgeteilt

  2. Twitter

    Neue Sortierung der Timeline kommt

  3. Error 53

    Unautorisierte Ersatzteile sperren iPhone

  4. Escape Dynamics

    Firma für mikrowellenbetriebene Raumschiffe ist bankrott

  5. Deutsche Bahn

    Wlan für alle ICE-Fahrgäste möglicherweise erst 2017

  6. Die Woche im Video

    Raider heißt jetzt Twix ...

  7. Alpenföhn

    Der Olymp soll 340 Watt an Leistung abführen

  8. Eurocom X9E

    Monster-Notebook nutzt Diamant- und Flüssigmetallpaste

  9. Willkürliche Festsetzung

    Schwedische Regierung spottet über Assange

  10. IoT statt Smartphones

    Mozilla gibt Firefox OS schneller auf als erwartet



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Xcom 2 im Test: Strategie wie vom anderen Stern
Xcom 2 im Test
Strategie wie vom anderen Stern
  1. Vorschau Spielejahr 2016 Cowboys und Cyberspace
  2. Xcom 2 angespielt Mit Strategie die Menschheit retten

Verschlüsselung: Nach Truecrypt kommt Veracrypt
Verschlüsselung
Nach Truecrypt kommt Veracrypt

Sèbastien Loeb Rally Evo im Test: Mit dem Weltmeister über Stock und Stein
Sèbastien Loeb Rally Evo im Test
Mit dem Weltmeister über Stock und Stein
  1. Dirt Rally im Test Motorsport für Fortgeschrittene
  2. Rockstar Games Jede Kugel zählt in GTA Online
  3. Microsoft Forza 6 bekommt Mikrotransaktionen

  1. Re: So ein Blödsinn

    bauernjunges | 16:33

  2. Re: Vorsicht mit Windows 10

    Clarissa1986 | 16:30

  3. Re: Der Homebutton ist doch ein Fingerabdruckscanner?

    ChMu | 16:28

  4. Re: Haben will! xD

    plutoniumsulfat | 16:27

  5. Re: Was für ein Wärmeleitpasten-Voodoo...

    plutoniumsulfat | 16:26


  1. 14:45

  2. 13:25

  3. 12:43

  4. 11:52

  5. 11:28

  6. 09:01

  7. 21:49

  8. 16:04


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel