Abo
  • Services:
Anzeige
Backoor im Piwik-Code aufgetaucht
Backoor im Piwik-Code aufgetaucht (Bild: Piwik)

Webanalyse: Backdoor in Piwik

Backoor im Piwik-Code aufgetaucht
Backoor im Piwik-Code aufgetaucht (Bild: Piwik)

Die freie Web-Analyse-Software Piwik enthielt eine Hintertür, die es Angreifern ermöglichte, beliebigen PHP-Code auf einem Server auszuführen. Mittlerweile steht eine korrigierte Version zum Download bereit.

Die Piwik-Macher haben die kompromittierte Version von Piwik 1.9.2 gegen eine korrigierte Version ausgetauscht. Dem Golem.de-Leser Max Grobecker war in der Datei /piwik/core/Loader.php ein ungewöhnlicher Codeblock aufgefallen. Der mit Base64 codierte und mit gzip komprimierte Code sendet den Hostnamen und die Piwik-URL des jeweiligen Servers an einen Server und legt im selben Verzeichnis die Datei lic.log ab, die das Wort "piwik" enthält. Solange diese Datei existiert, werden laut Grobecker keine Anfragen mehr an den besagten Server geschickt, vermutlich um die Last auf dem System so gering wie möglich zu halten.

Anzeige

Darüber hinaus wird eine Backdoor geöffnet, mit der der Angreifer beliebigen PHP-Code auf dem Server ausführen kann, die notwendige URL schickt das System schließlich an dessen Server. Dazu wird ein regulärer Ausdruck mit /e-Modifikator verwendet. So ist es beispielsweise möglich, den Inhalt von htpasswd-Dateien anzuzeigen oder eine eigene PHP-Datei irgendwo innerhalb des Webspaces abzulegen und darin eigenen Code auszuführen, sofern der Webserver über Schreibrechte verfügt.

Das Problem wird lediglich im Piwik-Forum diskutiert, eine entsprechende prominente Warnung findet sich auf der Piwik-Website bislang nicht. Wer Piwik in der letzten Zeit installiert hat, sollte seine Installation prüfen. Zudem ist unklar, wie der entsprechende Code im offiziellen Piwik-Archiv landen konnte.

Nachtrag vom 27. November 2012, 13:35 Uhr

Die Piwik-Entwickler haben mittlerweile einen "Security Report" zu dem Vorfall veröffentlicht. Demnach wurde der Piwik-Webserver am gestrigen 26. November kompromittiert und das Zip-Archiv mit der aktuellen Piwik-Version ausgetauscht. Demnach stand die von dem Angreifer modifizierte Version der Software nur für einige Stunden zum Download bereit.

Wer Piwik gestern zwischen 16:43 Uhr und Mitternacht heruntergeladen hat, sollte seine Installation prüfen; wer die Software davor oder danach heruntergeladen hat, sollte sicher sein. Woran eine kompromittierte Installation zu erkennen ist, beschreiben die Piwik-Macher in ihrem Sicherheitsbericht.

Der Angriff auf den Piwik-Server erfolgt dem Bericht zufolge durch eine Sicherheitslücke in einem Wordpress-Plugin, das auf der Seite eingesetzt wurde.


eye home zur Startseite
mbirth 28. Nov 2012

Mein Update war am 24.11. 20:27 Uhr und dort ist die Loader.php auch sauber.

Lala Satalin... 27. Nov 2012

Und Windows?

berritorre 27. Nov 2012

Was ist denn das für eine Aussage? Surprise, surprise! Natürlich wird die Serverlast...


Bernd & Björn's Blog / 27. Nov 2012

Piwik - Beliebte Web analytics Software kompromittiert



Anzeige

Stellenmarkt
  1. ETAS GmbH & Co. KG, Stuttgart
  2. Giesecke+Devrient Currency Technology GmbH, München
  3. GILDEMEISTER Beteiligungen GmbH, Bielefeld
  4. Automotive Safety Technologies GmbH, Ingolstadt


Anzeige
Top-Angebote
  1. 199€ (Normalpreis 250€)
  2. für 699€ statt 799€
  3. 34,99€ + 5,99€ Versand (Vergleichspreis 77€)

Folgen Sie uns
       


  1. Fraunhofer Fokus

    Metaminer soll datensammelnde Apps aufdecken

  2. Onlinehandel

    Bundesgerichtshof greift Paypal-Käuferschutz an

  3. Verbraucherschutz

    Sportuhr-Hersteller gehen unsportlich mit Daten um

  4. Core-i-Prozessoren

    Intel bestätigt gravierende Sicherheitsprobleme in ME

  5. Augmented Reality

    Apple kauft Vrvana für 30 Millionen US-Dollar

  6. Lootboxen

    "Battlefront 2 ist ein Star-Wars-Onlinecasino für Kids"

  7. Stadtnetzbetreiber

    Von 55 Tiefbauunternehmen hat keines geantwortet

  8. Steuerstreit

    Irland fordert Milliardenzahlung von Apple ein

  9. Zensur

    Skype ist in chinesischen Appstores blockiert

  10. Eizo Flexscan EV2785

    Neuer USB-C-Monitor mit 4K und mehr Watt für Notebooks



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gaming-Smartphone im Test: Man muss kein Gamer sein, um das Razer Phone zu mögen
Gaming-Smartphone im Test
Man muss kein Gamer sein, um das Razer Phone zu mögen
  1. Razer Phone im Hands on Razers 120-Hertz-Smartphone für Gamer kostet 750 Euro
  2. Kiyo und Seiren X Razer bringt Ringlicht-Webcam für Streamer
  3. Razer-CEO Tan Gaming-Gerät für mobile Spiele soll noch dieses Jahr kommen

Firefox 57: Viel mehr als nur ein Quäntchen schneller
Firefox 57
Viel mehr als nur ein Quäntchen schneller
  1. Mozilla Wenn Experimente besser sind als Produkte
  2. Firefox 57 Firebug wird nicht mehr weiterentwickelt
  3. Mozilla Firefox 56 macht Hintergrund-Tabs stumm

Fire TV (2017) im Test: Das Streaminggerät, das kaum einer braucht
Fire TV (2017) im Test
Das Streaminggerät, das kaum einer braucht
  1. Neuer Fire TV Amazons Streaming-Gerät bietet HDR für 80 Euro
  2. Streaming Update für Fire TV bringt Lupenfunktion
  3. Streaming Amazon will Fire TV und Echo Dot vereinen

  1. Re: Jedes geschlossene System

    bla | 06:51

  2. Re: Kann man's jetzt patchen oder nicht?

    bla | 06:48

  3. Dann eben kein OpenData für kommerzielle...

    Putenbuch | 06:39

  4. Re: Wir brauchen Ethanol,Buthanol,Wasserstoff...

    maxule | 06:21

  5. Re: Ich weis ja nicht, warum man hier versucht...

    Ipa | 06:03


  1. 17:45

  2. 17:20

  3. 17:06

  4. 16:21

  5. 15:51

  6. 15:29

  7. 14:59

  8. 14:11


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel