Abo
  • IT-Karriere:

Blog-Software: Gravierender Fehler in Wordpress Auto-Update gefunden

Weil der zentrale Update-Server von Wordpress unsichere Hashfunktionen zulässt, hätten Angreifer Code ausführen und massenhaft Wordpress-Installationen angreifen können. Die Sicherheitslücke wurde mittlerweile geschlossen.

Artikel veröffentlicht am ,
Das Wordpress-Logo.
Das Wordpress-Logo. (Bild: Wordpress)

Die Wordpress-Entwickler haben eine kritische Schwachstelle im Update-Server des Unternehmens geschlossen. Angreifer hätten eine schwache Hashfunktion ausnutzen können, die eigentlich sicherstellen sollte, dass verifizierte Entwickler Änderungen von der Programmierplattform Github einspielen, wie die Sicherheitsfirma Wordfence schreibt.

Stellenmarkt
  1. VDI/VDE Innovation + Technik GmbH, Berlin
  2. Encory GmbH, Unterschleissheim

Kritische Komponenten von Wordpress-Blogs werden seit der Version 3.7 automatisch eingespielt, um die Sicherheit zu verbessern. Wenn die Sicherheit des zentralen Update-Mechanismus ausgehebelt wird, kann das aber zum Problem werden.

Das Problem liegt konkret im Server unter der Adresse api.wordpress.org. Mit diesem Server nehmen Wordpress-Installationen etwa ein Mal die Stunde Kontakt auf, um zu prüfen, ob Updates vorliegen. Wenn ein Update notwendig ist, stellt der Server den Clients einen Link zur Verfügung, unter dem das Update abgerufen werden kann - bei den Core-Komponenten geschieht das automatisch.

Keine Signaturprüfung für Updates

Problematisch ist das, weil die Wordpress-Installationen allen Informationen vertrauen, die der Server sendet. Eine Überprüfung der angebotenen Software mittels Signaturen findet also nicht statt.

Die Schwachstelle, die Angreifer ausnutzen konnten, lag in der Verbindung zwischen dem Update-Server und Github. Von dort können die Wordpress-Entwickler Änderungen am Code über einen Github Webhook auf den Server pushen. Bei Webhook handelt es sich um ein PHP-Skript, das die eigentliche Sicherheitslücke enthält, die die Ausführung von Code aus der Ferne ermöglicht.

Github sendet ein Paket mit JSON-Daten an den Webhook, außerdem wird der Nachricht ein "geteiltes Geheimnis" hinzugefügt, daraus wird dann per SHA-1 ein Hashwert errechnet. Api.wordpress.com nimmt dann die Daten entgegen, vergleicht die Hashwerte und spielt die Updates ein, wenn die Werte übereinstimmen.

Wordpress hatte die Funktion jedoch so implementiert, dass vom Sender auch ein anderer Hashing-Algorithmus genutzt werden kann. Die Sicherheitsforscher nutzten einen kryptographisch unsicheren Hashing-Algorithmus, der eigentlich nur zur Berechnung von Checksummen genutzt wird, um Anfragen zu stellen. Auf diese Weise gelang es ihnen, per Brute-Force-Angriff an das "geteilte Geheimnis" zu kommen. Um einen solchen Angriff erfolgreich durchzuführen, müssten etwa 100.000 bis 400.000 Anfragen mit zufälligen Schlüsseln gesendet werden.

Wordpress hat die Sicherheitslücke bereits Anfang September, wenige Tage nach der Meldung durch Wordfence, geschlossen. Eine Überprüfung der ausgelieferten Updates findet aber nach wie vor nicht statt.



Anzeige
Hardware-Angebote
  1. (u. a. Grafikkarten, Monitore, Mainboards)
  2. 334,00€

My1 24. Nov 2016

naja wenn man auf biegen und brechen support mit uralten und unsicheren versionen setzt...

nachgefragt 24. Nov 2016

das eine hat mit dem anderen nichts zu tun. wenn man mit bedacht eine nicht mehr...

My1 24. Nov 2016

dem stimme ich zu. man muss nicht alles auf zwang mit nicht mehr supporteten versionen...

burzum 24. Nov 2016

Ein Blick auf den Code zeigt recht fix das dies keine Alternative, sondern der gleiche...

vbot 23. Nov 2016

Fahrradkette. :) - Feierabend.


Folgen Sie uns
       


Proglove Scanhandschuh ausprobiert

Der Mark II von Proglove ist ein Barcode-Scanner, den sich Nutzer um die Hand schnallen können. Das Gerät ist klein und sehr leicht - wir haben es nach wenigen Minuten schon nicht mehr bemerkt.

Proglove Scanhandschuh ausprobiert Video aufrufen
Sicherheitslücken: Zombieload in Intel-Prozessoren
Sicherheitslücken
Zombieload in Intel-Prozessoren

Forscher haben weitere Seitenkanalangriffe auf Intel-Prozessoren entdeckt, die sie Microarchitectural Data Sampling alias Zombieload nennen. Der Hersteller wusste davon und reagiert mit CPU-Revisionen. Apple rät dazu, Hyperthreading abzuschalten - was 40 Prozent Performance kosten kann.
Ein Bericht von Marc Sauter und Sebastian Grüner

  1. Open-Source Technology Summit Intel will moderne Firmware und Rust-VMM für Server
  2. Ice Lake plus Xe-GPGPU Intel erläutert 10-nm- und 7-nm-Zukunft
  3. GPU-Architektur Intels Xe beschleunigt Raytracing in Hardware

Katamaran Energy Observer: Kaffee zu kochen heißt, zwei Minuten später anzukommen
Katamaran Energy Observer
Kaffee zu kochen heißt, zwei Minuten später anzukommen

Schiffe müssen keine Dreckschleudern sein: Victorien Erussard und Jérôme Delafosse haben ein Boot konstruiert, das ohne fossilen Treibstoff auskommt. Es kann sogar auf hoher See selbst Treibstoff aus Meerwasser gewinnen. Auf ihrer Tour um die Welt wirbt die Energy Observer für erneuerbare Energien.
Ein Bericht von Werner Pluta

  1. Umweltschutz Kanäle in NRW bekommen Ladesäulen für Binnenschiffe
  2. Transport DLR plant Testfeld für autonome Schiffe in Brandenburg
  3. C-Enduro Britische Marine testet autonomes Wasserfahrzeug

Bundestagsanhörung: Beim NetzDG drohen erste Bußgelder
Bundestagsanhörung
Beim NetzDG drohen erste Bußgelder

Aufgrund des Netzwerkdurchsetzungsgesetzes laufen mittlerweile über 70 Verfahren gegen Betreiber sozialer Netzwerke. Das erklärte der zuständige Behördenchef bei einer Anhörung im Bundestag. Die Regeln gegen Hass und Hetze auf Facebook & Co. entzweien nach wie vor die Expertenwelt.
Ein Bericht von Justus Staufburg

  1. NetzDG Grüne halten Löschberichte für "trügerisch unspektakulär"
  2. NetzDG Justizministerium sieht Gesetz gegen Hass im Netz als Erfolg
  3. Virtuelles Hausrecht Facebook muss beim Löschen Meinungsfreiheit beachten

    •  /