Abo
  • IT-Karriere:

Webapplikationen: Sicherheitslücke in jQuery-Plugin wird aktiv ausgenutzt

Ein jQuery-Plugin erlaubt es, unter bestimmten Bedingungen PHP-Dateien auf den Server zu laden und auszuführen. Das Problem sitzt jedoch tiefer: Viele Webapplikationen bauen auf den Schutz von Apaches .htaccess-Dateien. Der ist jedoch häufig wirkungslos.

Artikel veröffentlicht am ,
Viele Webapplikationen sind nicht abgesichert.
Viele Webapplikationen sind nicht abgesichert. (Bild: Fauno/CC0 1.0)

Der Mitarbeiter des CDN-Anbieters Akamai Larry Cashdollar entdeckte eine Sicherheitslücke in dem beliebten jQuery File Upload Plugin. Die Lücke in der Software erlaubt das Hochladen beliebiger Dateien, auch PHP-Dateien, mit denen Schadcode ausgeführt werden kann.

Inhalt:
  1. Webapplikationen: Sicherheitslücke in jQuery-Plugin wird aktiv ausgenutzt
  2. Das Problem liegt tiefer

Die Lücke wird bereits seit Jahren aktiv ausgenutzt. Eigentlich ist das Plugin über Einstellungen in einer .htaccess-Datei, mit der Einstellungen des Webservers Apache geändert werden können, vor dem Ausführen von PHP-Skripten geschützt. Dieser Schutz funktioniert jedoch in vielen Fällen nicht. Das Problem betrifft auch viele weitere Webapplikationen, die entweder den Code des jQuery File Upload Plugins verwenden oder ebenfalls auf den Schutz durch .htaccess-Dateien setzen.

Das Plugin ist das zweitbeliebteste jQuery-Projekt auf Github, nach jQuery selbst. Es wurde 7.800 mal geforkt. Sein Programmcode findet sich in Hunderten, wenn nicht Tausenden anderen Projekten, darunter Content Management Systems (CMS), Customer Relation Management Systems (CRM), verschiedenen Plugins für Wordpress oder Drupal, Joomla-Komponenten und vielen anderen. Entsprechend viele Systeme sind von der Sicherheitslücke betroffen.

.htaccess bietet nicht immer Schutz

Wie viele andere PHP-Webapplikationen setzte das Plugin auf .htaccess-Dateien, um die Dateien abzusichern. In .htaccces-Dateien können ordner- und dateispezifische Einstellungen für den Apache Webserver festgelegt werden. Das jQuery-Plugin verhindert beispielsweise über eine .htaccess-Datei, dass PHP-Skripte im Kontext der Webseite ausgeführt werden können.

Stellenmarkt
  1. Modis GmbH, Köln
  2. Wirtschaftsrat der CDU e.V., Berlin

Seit der im November 2010 erschienen Version 2.3.9 des Apache Webservers werden die .htaccess-Dateien allerdings in den Standardeinstellungen nicht mehr beachtet. Das hat zwei einfache Gründe: Zum einen leidet die Performance des Servers, wenn bei jedem Zugriff auf einen Ordner zusätzlich .htaccess-Dateien abgefragt werden müssen, zum anderen können mit den Dateien auch Sicherheitseinstellungen des Servers umgangen werden, was sich zudem von Admins schlecht kontrollieren lässt.

Kurz: Alle Versionen des jQuery File Upload Plugins, die nicht mit einem Apache Webserver mit aktivierter .htaccess-Unterstützung betrieben wurden, waren verwundbar.

Der Sicherheitsforscher Cashdollar war jedoch mitnichten der Erste, der die Lücke entdeckte: Auf Youtube lassen sich Tutorials zum Ausnutzen der Sicherheitslücke finden, die bis ins Jahr 2015 zurückreichen. Ein großes Geheimnis war die Lücke also eigentlich nicht, allerdings waren weder Sicherheitsforscher, noch der Entwickler Sebastian Tschan oder einer der zahlreichen Forks auf die Lücke aufmerksam geworden.

Das Problem liegt tiefer 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. 469€
  2. 245,90€
  3. 80,90€ + Versand

Vash 11. Nov 2018

Eine eindeutige Schuld ist keinem, bzw allen zuzuschreiben: der Entwickler der...

FreiGeistler 25. Okt 2018

Nicht dass ich die grosse Leuchte in solchen Dingen wäre, aber kann man sich das Setup...

ratti 23. Okt 2018

Ich baue seit Ende der 90er Webapplikationen. In der Zeit wäre mir kein einziger Apache...

Ninos 23. Okt 2018

Sollte bei professionelleren Projekten nicht so dramatisch sein, da das php-Skript zum...

mtr (golem.de) 23. Okt 2018

Hallo hemelin, Danke für den Hinweis. Haben wir geändert. LG Moritz


Folgen Sie uns
       


Cowboy Pedelec ausprobiert

Sportlich und minimalistisch - das Cowboy Pedelec ist jetzt auch in Deutschland verfügbar.

Cowboy Pedelec ausprobiert Video aufrufen
Minecraft Dungeons angespielt: Fehlt nur noch ein Klötzchen-Diablo in der Tiefe
Minecraft Dungeons angespielt
Fehlt nur noch ein Klötzchen-Diablo in der Tiefe

E3 2019 Von der Steuerung bis zu den Schatzkisten: Minecraft Dungeons hat uns beim Anspielen bis auf die Klötzchengrafik verblüffend stark an Diablo erinnert - und könnte gerade deshalb teuflisch spaßig werden!

  1. Augmented Reality Minecraft Earth erlaubt Klötzchenbauen in aller Welt
  2. Microsoft Augmented-Reality-Minecraft kommt zum zehnten Jubiläum
  3. Jubiläum ohne Notch Microsoft feiert Minecraft ohne Markus Persson

Ocean Discovery X Prize: Autonome Fraunhofer-Roboter erforschen die Tiefsee
Ocean Discovery X Prize
Autonome Fraunhofer-Roboter erforschen die Tiefsee

Öffentliche Vergaberichtlinien und agile Arbeitsweise: Die Teilnahme am Ocean Discovery X Prize war nicht einfach für die Forscher des Fraunhofer Instituts IOSB. Deren autonome Tauchroboter zur Tiefseekartierung schafften es unter die besten fünf weltweit.
Ein Bericht von Werner Pluta

  1. JAB Code Bunter Barcode gegen Fälschungen

Projektmanagement: An der falschen Stelle automatisiert
Projektmanagement
An der falschen Stelle automatisiert

Kommunikationstools und künstliche Intelligenz sollen dabei helfen, dass IT-Projekte besser und schneller fertig werden. Demnächst sollen sie sogar Posten wie den des Projektmanagers überflüssig machen. Doch das wird voraussichtlich nicht passieren.
Ein Erfahrungsbericht von Marvin Engel


      •  /