• IT-Karriere:
  • Services:

Sicherheitslücke: Schadcode per Wordpress-Kommentar

Gleich mehrere Sicherheitslücken kombinierte ein Sicherheitsforscher, um Schadcode in Wordpress ausführen zu können. Die Wordpress-Standardeinstellungen und ein angemeldeter Administrator reichten als Voraussetzung.

Artikel veröffentlicht am ,
Schadcode über die Wordpress-Kommentarfunktion
Schadcode über die Wordpress-Kommentarfunktion (Bild: pixelcreatures/Pixabay)

Über eine Kombination von Sicherheitslücken in Wordpress vor Version 5.1.1 lässt sich die Wordpress-Installation übernehmen und Schadcode ausführen. Voraussetzung für den Angriff sind eine aktivierte Kommentarfunktion sowie ein angemeldeter Wordpress-Benutzer mit Administratorrechten - den ein Angreifer zum Besuch einer Webseite verleiten muss.

Stellenmarkt
  1. McDonald's Deutschland LLC, München
  2. Hans Gross GmbH & Co. KG, Dillingen

Entdeckt wurden die Lücken von dem Sicherheitsforscher Simon Scannell. Sie wurden in Version 5.1.1 behoben. Durch die automatische Updatefunktion sollten die meisten Wordpress-Installationen bereits auf dem aktuellen Stand sein. Alternativ kann die Kommentarfunktion deaktiviert werden.

Über einen Cross-Site-Request-Forgery-Angriff (CSRF) kann ein Angreifer Kommentare im Namen eines angemeldeten Benutzers schreiben. Die Kommentarfunktion ist in Wordpress nicht gegen derlei Angriffe geschützt, da andere Wordpress-Seiten mit den Funktionen Trackback und Pingback über eine Verlinkung oder Erwähnung informieren können.

Wordpress lässt in den Kommentaren standardmäßig nur wenige Basis-HTML-Befehle zu - ein Benutzer mit Administratorrechten kann jedoch deutlich mehr HTML-Befehle posten. Über einen Trick gelang es den Sicherheitsforschern hierrüber Java-Script-Schadcode in einem Onmouseover-Befehl unterzubringen. Über eine präparierte Webseite - die der angemeldete Wordpress-Administrator besuchen muss - lässt sich der Kommentar und damit der Schadcode laden. Wordpress erlaubt Benutzern mit Administrator-Rechten das Bearbeiten von PHP-Dateien von Themes und Plugins über das Dashboard. Auf diese Weise lässt sich PHP-Schadcode auf dem Server ausführen.

Wordpress ist oft über installierte Plugins oder Themes verwundbar. Im November wurde eine Sicherheitslücke im DSGVO-Plugin WP GDPR Compliance entdeckt, über die Angreifer Administratoren-Konten registrieren konnten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 4,87€
  2. 33,99€
  3. 5,99€

Anonymer Nutzer 15. Mär 2019

genau, so sehr standard, dass man dafür dann wieder antispam plugins braucht ... was der...


Folgen Sie uns
       


Viewsonic M2 - Test

Der kleine LED-Projektor eignet sich für Präsentationen und als flexibles Kino für unterwegs.

Viewsonic M2 - Test Video aufrufen
    •  /