Abo
  • Services:

DSGVO: Sicherheitslücke in Wordpress-Addon ermöglicht Admin-Rechte

Durch eine fehlende Identitätsabfrage in einem DSGVO-Plugin für Wordpress können sich Angreifer Administratorkonten für Webseiten anlegen und dann beliebige Schadsoftware verteilen. Die Lücke wird bereits ausgenutzt.

Artikel veröffentlicht am ,
Ein Patch für das Wordpress-Addon sollte schnell geladen werden.
Ein Patch für das Wordpress-Addon sollte schnell geladen werden. (Bild: Pixabay.com/Montage: Golem.de/CC0 1.0)

Security-Analysten haben im DSGVO-Plugin WP GDPR Compliance für das Content-Management-System Wordpress eine gravierende Sicherheitslücke entdeckt. Angreifer konnten darüber eigene Konten mit Administratorrechten erstellen, um diverse Schadsoftware auf infizierten Seiten zu installieren. Das berichtet der Blog des Security-Unternehmens Wordfence. Die Lücke betrifft Versionen 1.4.2 und älter. Ein Patch, der das Problem beheben soll, wird bereits verteilt. Die mehr als 100.000 Downloads machen klar, dass viele Webseitenbetreiber davon betroffen waren. Es wird empfohlen, den Patch so schnell wie möglich zu installieren, da Wordfence bereits einige so infizierte Seiten ausmachen konnte.

Stellenmarkt
  1. Melitta Professional Coffee Solutions GmbH & Co. KG, Minden
  2. BWI GmbH, Nürnberg, München

Das Problem liegt in der Case-Auswahl mit Namen save_setting. Die Aktion prüft nicht nach, ob die ausführende Instanz die notwendigen Rechte zum Eingeben von Werten besitzt. So können Angreifer beliebige Eingaben in der Options-Tabelle einer betroffenen Webseite eintragen. Nach dem Ausführen der Methode update_option führt die Aktion zudem mit diesen Parametern beliebige Wordpress-Aktionen mit do_action($option, $value) aus.

  • Die Schwachstelle liegt im dieser Fallauswahl (Bild: Wordfence)
Die Schwachstelle liegt im dieser Fallauswahl (Bild: Wordfence)

Bereits ausgenutzte Sicherheitslücke

Die beiden Methoden werden als jeweils eigenständige Sicherheitslücken identifiziert, führen aber zusammen zum gleichen Ergebnis: Einige Angreifer konnten sich so bereits eigene Konten mit erhöhten Rechten erstellen, indem sie die Standardrolle für neu angelegte Nutzerkonten auf Administrator setzen und die Erstellung neuer Konten auf der Webseite erlauben.

Die Verfasser des Artikels auf Wordfence konnten so beispielsweise Administratorkonten mit Namen wie t2trollherten entdecken. Diese Konten haben dann böswilligen PHP-Code mit der Bezeichnung wp-cache.php hochgeladen. Es ist nicht klar, wie sich diese Anwendungen verhalten. Allerdings ist mit Administratorrechten theoretisch viel möglich - etwa das Abgreifen von Zahlungsdaten, Passwörtern oder von personenbezogenen Daten, die in eine infizierte Datenbank hochgeladen werden.



Anzeige
Spiele-Angebote
  1. 46,99€
  2. 23,95€
  3. 59,99€ mit Vorbesteller-Preisgarantie (Release 14.11.)
  4. (-75%) 7,49€

BennyBorn 12. Nov 2018 / Themenstart

Besten Dank für die Klärung!

Kommentieren


Folgen Sie uns
       


Nepos Tablet - Hands on

Nepos ist ein Tablet, das speziell für ältere Nutzer gedacht ist. Das Gehäuse ist stabil und praktisch, die Benutzerführung einheitlich. Jede App funktioniert nach dem gleichen Prinzip, mit der gleichen Benutzeroberfläche.

Nepos Tablet - Hands on Video aufrufen
Mobile-Games-Auslese: Tinder auf dem Eisernen Thron - für unterwegs
Mobile-Games-Auslese
Tinder auf dem Eisernen Thron - für unterwegs

Fantasy-Fanservice mit dem gelungenen Reigns - Game of Thrones, Musikpuzzles in Eloh und Gehirnjogging in Euclidean Skies: Die neuen Mobile Games für iOS und Android bieten Spaß für jeden Geschmack.
Von Rainer Sigl

  1. Mobile Gaming Microsoft Research stellt Gamepads für das Smartphone vor
  2. Mobile-Games-Auslese Bezahlbare Drachen und dicke Bären
  3. Mobile-Games-Auslese Städtebau und Lebenssimulation für unterwegs

Coachingbuch: Metapher mit Mängeln
Coachingbuch
Metapher mit Mängeln

Der Persönlichkeitscoach Thomas Hohensee plädiert in seinem neuen Buch dafür, problematische Kindheitsmuster zu behandeln wie schadhafte Programme auf einem Rechner: mit Reset, Updates und Neustart. Ein origineller Ansatz - aber hält er dem Thema stand?
Von Cornelia Birr

  1. Initiative Q Gehen Sie nicht über Los, ziehen Sie keine Q ein!
  2. Elektronisch Arzneimittelrezept kommt auf Smartphone
  3. Relayr Rückstandsglaube als Startup-Vorteil

Dell Ultrasharp 49 im Test: Pervers und luxuriös
Dell Ultrasharp 49 im Test
Pervers und luxuriös

Dell bringt mit dem Ultrasharp 49 zwei QHD-Monitore in einem, quasi einen Doppelmonitor. Es könnte sein, dass wir uns im Test ein kleines bisschen in ihn verliebt haben.
Ein Test von Michael Wieczorek

  1. Magicscroll Mobiles Gerät hat rollbares Display zum Herausziehen
  2. CJG50 Samsungs 32-Zoll-Gaming-Monitor kostet 430 Euro
  3. Agon AG322QC4 Aggressiv aussehender 31,5-Zoll-Monitor kommt für 600 Euro

    •  /