Abo
  • Services:

Codeausführung: Wordpress schließt Sicherheitslücke nicht

Eine Sicherheitslücke in Wordpress erlaubt angemeldeten Nutzern, die Installation zu übernehmen und Code auszuführen. Wordpress wusste von dem Problem seit November 2017, hat es aber bisher nicht gefixt.

Artikel veröffentlicht am , Hanno Böck
Eine Sicherheitslücke gefährdet vor allem Multi-User-Installationen von Wordpress.
Eine Sicherheitslücke gefährdet vor allem Multi-User-Installationen von Wordpress. (Bild: RIPS Technologies)

Die Firma RIPS Technologies hat eine Sicherheitslücke in Wordpress entdeckt. Eine fehlende Validierung von Daten beim Hochladen von Bildern erlaubt es, beliebige Dateien zu löschen. Damit lässt sich mit einem weiteren Trick die gesamte Installation übernehmen.

Stellenmarkt
  1. mobilcom-debitel GmbH, Büdelsdorf (bei Kiel)
  2. ADAC Customer Service GmbH, Essen

Karim El Ouerghemmi von RIPS Technologies beschreibt das Sicherheitsproblem in einem Blogpost. Demnach wurde die Lücke bereits im November 2017 über das Bug-Bounty-Programm von Wordpress an dessen Entwickler gemeldet, gefixt wurde sie jedoch bislang nicht.

Installationen mit mehreren Nutzern gefährdet

Ausnutzen lässt sich die Lücke von einem angemeldeten Nutzer, der das Recht hat, Dateien hochzuladen und zu löschen. Betroffen sind also in erster Linie Installationen, auf denen mehrere Personen Editierrechte haben.

Wenn in Wordpress eine Datei - etwa ein hochgeladenes Bild - von einem angemeldeten Nutzer wieder gelöscht wird, dann wird auch das zugehörige Thumbnail entfernt. Das Problem: Der Dateiname des Thumbnails wird beim Hochladen aus einem Formularfeld ausgelesen und ungeprüft in die Datenbank geschrieben. Ein Angreifer kann nun hier einen beliebigen Dateinamen angeben und auch den Pfad manipulieren. Damit lassen sich beliebige Dateien löschen, sofern die Wordpress-Installation darauf Zugriff hat. Ganz banal könnte ein Angreifer also beispielsweise schlicht alle Dateien löschen und eine Webseite unbrauchbar machen.

Die Lücke lässt sich jedoch auch ausnutzen, um Code auf dem Server auszuführen. Dafür löscht man die Konfigurationsdatei von Wordpress (wp-config.php). Wenn ein Wordpress keine Konfigurationsdatei vorfindet, wird die Installationsroutine angeboten - und die erfordert keinerlei Authentifizierung. Ein Angreifer kann also die Installation selbst durchführen, einen von ihm kontrollierten Datenbankserver angeben und anschließend durch die Installation eines Plugins Code ausführen.

Inoffizieller Patch verhindert Angriff

Von Wordpress gibt es bislang keine Informationen zur Lücke. Sie betrifft alle Wordpress-Versionen inklusive der aktuellen Version 4.9.6. RIPS Technologies hat einen vorläufigen, inoffiziellen Patch bereitgestellt. Vor allem Nutzer von Wordpress-Installationen, auf denen mehrere Autoren tätig sind, sollten diesen Patch installieren.



Anzeige
Blu-ray-Angebote
  1. 7,99€ inkl. FSK-18-Versand
  2. 4,25€

kaklaka 28. Jun 2018 / Themenstart

Zum einen ist ihr Patch nur ein Workaround. Er verhindert nur, dass Dateipfade im Thumb...

TheUnichi 28. Jun 2018 / Themenstart

laughing eut loud?

Kommentieren


Folgen Sie uns
       


Ubitricity ausprobiert

Das Berliner Unternehmen Ubitricity hat ein eichrechtskonformes System für das Laden von Elektroautos entwickelt. Das Konzept basiert darauf, dass nicht die Säule, sondern der Kunde selbst für die Stromzählung sorgt.

Ubitricity ausprobiert Video aufrufen
Cruijff Arena: Ed Sheeran singt mit Strom aus Nissan-Leaf-Akkus
Cruijff Arena
Ed Sheeran singt mit Strom aus Nissan-Leaf-Akkus

Die Johann-Cruijff-Arena in Amsterdam ist weltweit das erste Stadion, das seine Energieversorgung mit einem Speichersystem sichert, das aus Akkus von Elektroautos besteht. Der englische Sänger Ed Sheeran hat mit dem darin gespeichertem Solarstrom schon seine Gitarre verstärkt.
Ein Bericht von Dirk Kunde

  1. Energiewende Warum die Bundesregierung ihre Versprechen nicht hält
  2. Max Bögl Wind Das höchste Windrad steht bei Stuttgart

Esa: Sonnensystemforschung ohne Plutonium
Esa
Sonnensystemforschung ohne Plutonium

Forscher der Esa arbeiten an Radioisotopenbatterien, die ohne das knappe und aufwendig herzustellende Plutonium-238 auskommen. Stattdessen soll Americium-241 aus abgebrannten Brennstäben von Kernkraftwerken zum Einsatz kommen. Ein erster Prototyp ist bereits fertig.
Von Frank Wunderlich-Pfeiffer

  1. Jaxa Japanische Sonde Hayabusa 2 erreicht den Asteroiden Ryugu
  2. Mission Horizons @Astro_Alex fliegt wieder
  3. Raumfahrt China lädt die Welt zur neuen Raumstation ein

Razer Blade 15 im Test: Schlanker 15,6-Zöller für Gamer gefällt uns
Razer Blade 15 im Test
Schlanker 15,6-Zöller für Gamer gefällt uns

Das Razer Blade 15 ist ein gutes Spiele-Notebook mit flottem Display und schneller Geforce-Grafikeinheit. Anders als im 14-Zoll-Formfaktor ist bei den 15,6-Zoll-Modellen die Konkurrenz aber deutlich größer.
Ein Test von Marc Sauter

  1. Gaming-Notebook Razer packt Hexacore und Geforce GTX 1070 ins Blade 15
  2. Razer Blade 2017 im Test Das beste Gaming-Ultrabook nun mit 4K

    •  /