Abo
  • Services:

Sicherheitslücke: Schadcode per Wordpress-Kommentar

Gleich mehrere Sicherheitslücken kombinierte ein Sicherheitsforscher, um Schadcode in Wordpress ausführen zu können. Die Wordpress-Standardeinstellungen und ein angemeldeter Administrator reichten als Voraussetzung.

Artikel veröffentlicht am ,
Schadcode über die Wordpress-Kommentarfunktion
Schadcode über die Wordpress-Kommentarfunktion (Bild: pixelcreatures/Pixabay)

Über eine Kombination von Sicherheitslücken in Wordpress vor Version 5.1.1 lässt sich die Wordpress-Installation übernehmen und Schadcode ausführen. Voraussetzung für den Angriff sind eine aktivierte Kommentarfunktion sowie ein angemeldeter Wordpress-Benutzer mit Administratorrechten - den ein Angreifer zum Besuch einer Webseite verleiten muss.

Stellenmarkt
  1. ENERCON GmbH, Aurich
  2. Bundeskriminalamt, Meckenheim bei Bonn

Entdeckt wurden die Lücken von dem Sicherheitsforscher Simon Scannell. Sie wurden in Version 5.1.1 behoben. Durch die automatische Updatefunktion sollten die meisten Wordpress-Installationen bereits auf dem aktuellen Stand sein. Alternativ kann die Kommentarfunktion deaktiviert werden.

Über einen Cross-Site-Request-Forgery-Angriff (CSRF) kann ein Angreifer Kommentare im Namen eines angemeldeten Benutzers schreiben. Die Kommentarfunktion ist in Wordpress nicht gegen derlei Angriffe geschützt, da andere Wordpress-Seiten mit den Funktionen Trackback und Pingback über eine Verlinkung oder Erwähnung informieren können.

Wordpress lässt in den Kommentaren standardmäßig nur wenige Basis-HTML-Befehle zu - ein Benutzer mit Administratorrechten kann jedoch deutlich mehr HTML-Befehle posten. Über einen Trick gelang es den Sicherheitsforschern hierrüber Java-Script-Schadcode in einem Onmouseover-Befehl unterzubringen. Über eine präparierte Webseite - die der angemeldete Wordpress-Administrator besuchen muss - lässt sich der Kommentar und damit der Schadcode laden. Wordpress erlaubt Benutzern mit Administrator-Rechten das Bearbeiten von PHP-Dateien von Themes und Plugins über das Dashboard. Auf diese Weise lässt sich PHP-Schadcode auf dem Server ausführen.

Wordpress ist oft über installierte Plugins oder Themes verwundbar. Im November wurde eine Sicherheitslücke im DSGVO-Plugin WP GDPR Compliance entdeckt, über die Angreifer Administratoren-Konten registrieren konnten.



Anzeige
Top-Angebote
  1. 99,99€ (versandkostenfrei)
  2. (u. a. 32 GB 6,98€, 128 GB 23,58€)
  3. 54,99€
  4. 59,99€

ML82 15. Mär 2019 / Themenstart

genau, so sehr standard, dass man dafür dann wieder antispam plugins braucht ... was der...

Kommentieren


Folgen Sie uns
       


Far Cry New Dawn - Test

Far Cry New Dawn ist eine wesentlich rundere und damit spaßigere Version von Far Cry 5 - wenn man über den Ingame-Shop hinwegsieht.

Far Cry New Dawn - Test Video aufrufen
Flugzeugabsturz: Boeing 737 MAX geht wegen Softwarefehler außer Betrieb
Flugzeugabsturz
Boeing 737 MAX geht wegen Softwarefehler außer Betrieb

Wegen eines bekannten Softwarefehlers wird der Flugbetrieb für Boeings neustes Flugzeug fast weltweit eingestellt - Die letzte Ausnahme war: die USA. Der Umgang der amerikanischen Flugaufsichtsbehörde mit den Problemen des neuen Flugzeugs erscheint zweifelhaft.

  1. Boeing Rollout der neuen 777X in wenigen Tagen
  2. Boeing 747 Der Jumbo Jet wird 50 Jahre alt
  3. Lufttaxi Uber sucht eine weitere Stadt für Uber-Air-Test

Display-Technik: So funktionieren Micro-LEDs
Display-Technik
So funktionieren Micro-LEDs

Nach Flüssigkristallanzeigen (LCD) mit Hintergrundbeleuchtung und OLED-Bildschirmen sind Micro-LEDs der nächste Schritt: Apple arbeitet daran für Smartwatches und Samsung hat bereits einen Fernseher vorgestellt. Die Technik hat viele Vorteile, ist aber aufwendig in der Fertigung.
Von Mike Wobker

  1. AU Optronics Apple soll Wechsel von OLEDs zu Micro-LEDs vorbereiten

Verschlüsselung: Die meisten Nutzer brauchen kein VPN
Verschlüsselung
Die meisten Nutzer brauchen kein VPN

VPN-Anbieter werben aggressiv und preisen ihre Produkte als Allheilmittel in Sachen Sicherheit an. Doch im modernen Internet nützen sie wenig und bringen oft sogar Gefahren mit sich.
Eine Analyse von Hanno Böck

  1. Security Wireguard-VPN für MacOS erschienen
  2. Security Wireguard-VPN für iOS verfügbar
  3. Outline Digitalocean und Alphabet-Tochter bieten individuelles VPN

    •  /