Abo
  • Services:
Anzeige
Das Wordpress-Logo.
Das Wordpress-Logo. (Bild: Wordpress)

Blog-Software: Gravierender Fehler in Wordpress Auto-Update gefunden

Das Wordpress-Logo.
Das Wordpress-Logo. (Bild: Wordpress)

Weil der zentrale Update-Server von Wordpress unsichere Hashfunktionen zulässt, hätten Angreifer Code ausführen und massenhaft Wordpress-Installationen angreifen können. Die Sicherheitslücke wurde mittlerweile geschlossen.

Die Wordpress-Entwickler haben eine kritische Schwachstelle im Update-Server des Unternehmens geschlossen. Angreifer hätten eine schwache Hashfunktion ausnutzen können, die eigentlich sicherstellen sollte, dass verifizierte Entwickler Änderungen von der Programmierplattform Github einspielen, wie die Sicherheitsfirma Wordfence schreibt.

Anzeige

Kritische Komponenten von Wordpress-Blogs werden seit der Version 3.7 automatisch eingespielt, um die Sicherheit zu verbessern. Wenn die Sicherheit des zentralen Update-Mechanismus ausgehebelt wird, kann das aber zum Problem werden.

Das Problem liegt konkret im Server unter der Adresse api.wordpress.org. Mit diesem Server nehmen Wordpress-Installationen etwa ein Mal die Stunde Kontakt auf, um zu prüfen, ob Updates vorliegen. Wenn ein Update notwendig ist, stellt der Server den Clients einen Link zur Verfügung, unter dem das Update abgerufen werden kann - bei den Core-Komponenten geschieht das automatisch.

Keine Signaturprüfung für Updates

Problematisch ist das, weil die Wordpress-Installationen allen Informationen vertrauen, die der Server sendet. Eine Überprüfung der angebotenen Software mittels Signaturen findet also nicht statt.

Die Schwachstelle, die Angreifer ausnutzen konnten, lag in der Verbindung zwischen dem Update-Server und Github. Von dort können die Wordpress-Entwickler Änderungen am Code über einen Github Webhook auf den Server pushen. Bei Webhook handelt es sich um ein PHP-Skript, das die eigentliche Sicherheitslücke enthält, die die Ausführung von Code aus der Ferne ermöglicht.

Github sendet ein Paket mit JSON-Daten an den Webhook, außerdem wird der Nachricht ein "geteiltes Geheimnis" hinzugefügt, daraus wird dann per SHA-1 ein Hashwert errechnet. Api.wordpress.com nimmt dann die Daten entgegen, vergleicht die Hashwerte und spielt die Updates ein, wenn die Werte übereinstimmen.

Wordpress hatte die Funktion jedoch so implementiert, dass vom Sender auch ein anderer Hashing-Algorithmus genutzt werden kann. Die Sicherheitsforscher nutzten einen kryptographisch unsicheren Hashing-Algorithmus, der eigentlich nur zur Berechnung von Checksummen genutzt wird, um Anfragen zu stellen. Auf diese Weise gelang es ihnen, per Brute-Force-Angriff an das "geteilte Geheimnis" zu kommen. Um einen solchen Angriff erfolgreich durchzuführen, müssten etwa 100.000 bis 400.000 Anfragen mit zufälligen Schlüsseln gesendet werden.

Wordpress hat die Sicherheitslücke bereits Anfang September, wenige Tage nach der Meldung durch Wordfence, geschlossen. Eine Überprüfung der ausgelieferten Updates findet aber nach wie vor nicht statt.


eye home zur Startseite
My1 24. Nov 2016

naja wenn man auf biegen und brechen support mit uralten und unsicheren versionen setzt...

nachgefragt 24. Nov 2016

das eine hat mit dem anderen nichts zu tun. wenn man mit bedacht eine nicht mehr...

My1 24. Nov 2016

dem stimme ich zu. man muss nicht alles auf zwang mit nicht mehr supporteten versionen...

burzum 24. Nov 2016

Ein Blick auf den Code zeigt recht fix das dies keine Alternative, sondern der gleiche...

vbot 23. Nov 2016

Fahrradkette. :) - Feierabend.



Anzeige

Stellenmarkt
  1. Stadt Regensburg, Regensburg
  2. Hager Electro GmbH & Co. KG, Schalksmühle / Ottfingen
  3. ESG Elektroniksystem- und Logistik-GmbH, Donauwörth
  4. Robert Bosch GmbH, Reutlingen


Anzeige
Blu-ray-Angebote
  1. 49,00€ (zzgl. 4,99€ Versand oder versandkostenfrei bei Abholung im Markt)
  2. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  3. 29,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. HP, Philips, Fujitsu

    Bloatware auf Millionen Notebooks ermöglicht Codeausführung

  2. Mali-C71

    ARM bringt seinen ersten ISP für Automotive

  3. SUNET

    Forschungsnetz erhält 100 GBit/s und ROADM-Technologie

  4. Cisco

    Kontrollzentrum verwaltet Smartphones im Unternehmen

  5. Datenschutz

    Facebook erhält weiterhin keine Whatsapp-Daten

  6. FTTH

    Telekom will mehr Kooperationen für echte Glasfaser

  7. Open Data

    OKFN will deutsche Wetterdaten befreien

  8. Spectrum Next

    Voll kompatible Neuauflage des ZX Spectrum ist finanziert

  9. OmniOS

    Freier Solaris-Nachfolger steht vor dem Ende

  10. Cybercrime

    Computerkriminalität nimmt statistisch gesehen zu



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
OWASP Top 10: Die zehn wichtigsten Sicherheitsrisiken bekommen ein Update
OWASP Top 10
Die zehn wichtigsten Sicherheitsrisiken bekommen ein Update
  1. Malware Schadsoftware bei 1.200 Holiday-Inn- und Crowne-Plaza-Hotels
  2. Zero Day Exploit Magento-Onlineshops sind wieder gefährdet
  3. Staatstrojaner Office 0-Day zur Verbreitung von Finfisher-Trojaner genutzt

Creators Update: Game Mode macht Spiele runder und Windows 10 ruckelig
Creators Update
Game Mode macht Spiele runder und Windows 10 ruckelig
  1. Microsoft Zwei große Updates pro Jahr für Windows 10
  2. Windows 10 Version 17xx-2 Stromsparmodus kommt für die nächste Windows-Version
  3. Windows as a Service Die erste Windows-10-Version hat noch drei Wochen Support

Linux auf dem Switch: Freiheit kann ganz schön kompliziert sein!
Linux auf dem Switch
Freiheit kann ganz schön kompliziert sein!
  1. Digital Ocean Cloud-Hoster löscht versehentlich Primärdatenbank
  2. Google Cloud Platform für weitere Microsoft-Produkte angepasst
  3. Marktforschung Cloud-Geschäft wächst rasant, Amazon dominiert den Markt

  1. Re: Konsolen wurden schon öfters für tot erklärt

    violator | 20:34

  2. Der Verlust wäre zu verschmerzen ...

    Kiray | 20:33

  3. Re: 300¤..

    lahmbi5678 | 20:27

  4. Re: Zustimmung!

    thinksimple | 20:26

  5. Re: FireTV steuern per Echo

    Jörg Steen | 20:26


  1. 19:00

  2. 18:44

  3. 18:14

  4. 17:47

  5. 16:19

  6. 16:02

  7. 15:40

  8. 14:51


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel