Codeausführung: Wordpress schließt Sicherheitslücke nicht

Eine Sicherheitslücke in Wordpress erlaubt angemeldeten Nutzern, die Installation zu übernehmen und Code auszuführen. Wordpress wusste von dem Problem seit November 2017, hat es aber bisher nicht gefixt.

Artikel veröffentlicht am , Hanno Böck
Eine Sicherheitslücke gefährdet vor allem Multi-User-Installationen von Wordpress.
Eine Sicherheitslücke gefährdet vor allem Multi-User-Installationen von Wordpress. (Bild: RIPS Technologies)

Die Firma RIPS Technologies hat eine Sicherheitslücke in Wordpress entdeckt. Eine fehlende Validierung von Daten beim Hochladen von Bildern erlaubt es, beliebige Dateien zu löschen. Damit lässt sich mit einem weiteren Trick die gesamte Installation übernehmen.

Stellenmarkt
  1. IT-Mitarbeiter (m/w/d) Netzwerk- und Anwendungssupport
    VIVAVIS AG, Bochum
  2. Android-Entwickler (m/w/d) Infotainment
    e.solutions GmbH, Erlangen
Detailsuche

Karim El Ouerghemmi von RIPS Technologies beschreibt das Sicherheitsproblem in einem Blogpost. Demnach wurde die Lücke bereits im November 2017 über das Bug-Bounty-Programm von Wordpress an dessen Entwickler gemeldet, gefixt wurde sie jedoch bislang nicht.

Installationen mit mehreren Nutzern gefährdet

Ausnutzen lässt sich die Lücke von einem angemeldeten Nutzer, der das Recht hat, Dateien hochzuladen und zu löschen. Betroffen sind also in erster Linie Installationen, auf denen mehrere Personen Editierrechte haben.

Wenn in Wordpress eine Datei - etwa ein hochgeladenes Bild - von einem angemeldeten Nutzer wieder gelöscht wird, dann wird auch das zugehörige Thumbnail entfernt. Das Problem: Der Dateiname des Thumbnails wird beim Hochladen aus einem Formularfeld ausgelesen und ungeprüft in die Datenbank geschrieben. Ein Angreifer kann nun hier einen beliebigen Dateinamen angeben und auch den Pfad manipulieren. Damit lassen sich beliebige Dateien löschen, sofern die Wordpress-Installation darauf Zugriff hat. Ganz banal könnte ein Angreifer also beispielsweise schlicht alle Dateien löschen und eine Webseite unbrauchbar machen.

Golem Akademie
  1. Masterclass: Data Science mit Pandas & Python
    9./10. September 2021, online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
  3. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
Weitere IT-Trainings

Die Lücke lässt sich jedoch auch ausnutzen, um Code auf dem Server auszuführen. Dafür löscht man die Konfigurationsdatei von Wordpress (wp-config.php). Wenn ein Wordpress keine Konfigurationsdatei vorfindet, wird die Installationsroutine angeboten - und die erfordert keinerlei Authentifizierung. Ein Angreifer kann also die Installation selbst durchführen, einen von ihm kontrollierten Datenbankserver angeben und anschließend durch die Installation eines Plugins Code ausführen.

Inoffizieller Patch verhindert Angriff

Von Wordpress gibt es bislang keine Informationen zur Lücke. Sie betrifft alle Wordpress-Versionen inklusive der aktuellen Version 4.9.6. RIPS Technologies hat einen vorläufigen, inoffiziellen Patch bereitgestellt. Vor allem Nutzer von Wordpress-Installationen, auf denen mehrere Autoren tätig sind, sollten diesen Patch installieren.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Clubhouse  
3,8 Milliarden Telefonnummern werden im Darknet verkauft

Die Telefonnummern und Kontakte aller Clubhouse-Konten werden wohl im Darknet angeboten. Nummern werden nach ihrer Wichtigkeit eingestuft.

Clubhouse: 3,8 Milliarden Telefonnummern werden im Darknet verkauft
Artikel
  1. iPhone 12: Youtuber findet Akkukapazität von Apples Magsafe-Pack heraus
    iPhone 12
    Youtuber findet Akkukapazität von Apples Magsafe-Pack heraus

    Ein Youtuber nimmt das Apple Magsafe-Akkupack auseinander. Im Video gibt er einen Einblick in die Technik und die Akkuladung des Produktes.

  2. Teilautonomes Fahren: Magna übernimmt Fahrerassistenz-Spezialisten Veoneer
    Teilautonomes Fahren
    Magna übernimmt Fahrerassistenz-Spezialisten Veoneer

    Für insgesamt 3,8 Milliarden US-Dollar will Magna International sein Geschäftsfeld autonome Fahrfunktionen ausbauen und übernimmt Veoneer.

  3. Elon Musk: Tesla Model S bekommt ausschließlich Knight-Rider-Lenkrad
    Elon Musk
    Tesla Model S bekommt ausschließlich Knight-Rider-Lenkrad

    Elon Musk hat klargestellt, dass es für das Model S und das Model X kein normales Lenkrad mehr geben wird. Das D-förmige Lenkrad ist Pflicht.

kaklaka 28. Jun 2018

Zum einen ist ihr Patch nur ein Workaround. Er verhindert nur, dass Dateipfade im Thumb...

TheUnichi 28. Jun 2018

laughing eut loud?



  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • 30% auf Amazon Warehouse • LG 55NANO867NA 573,10€ • Fractal Design Meshify C Mini 69,90€ • Amazon: PC-Spiele von EA im Angebot (u. a. FIFA 21 19,99€) • Viewsonic VG2719-2K (WQHD, 99% sRGB) 217,99€ • Alternate (u. a. Fractal Design Define S2 106,89€) • Roccat Horde Aimo 49€ [Werbung]
    •  /