Abo
  • Services:

Webapplikationen: Sicherheitslücke in jQuery-Plugin wird aktiv ausgenutzt

Ein jQuery-Plugin erlaubt es, unter bestimmten Bedingungen PHP-Dateien auf den Server zu laden und auszuführen. Das Problem sitzt jedoch tiefer: Viele Webapplikationen bauen auf den Schutz von Apaches .htaccess-Dateien. Der ist jedoch häufig wirkungslos.

Artikel veröffentlicht am ,
Viele Webapplikationen sind nicht abgesichert.
Viele Webapplikationen sind nicht abgesichert. (Bild: Fauno/CC0 1.0)

Der Mitarbeiter des CDN-Anbieters Akamai Larry Cashdollar entdeckte eine Sicherheitslücke in dem beliebten jQuery File Upload Plugin. Die Lücke in der Software erlaubt das Hochladen beliebiger Dateien, auch PHP-Dateien, mit denen Schadcode ausgeführt werden kann.

Inhalt:
  1. Webapplikationen: Sicherheitslücke in jQuery-Plugin wird aktiv ausgenutzt
  2. Das Problem liegt tiefer

Die Lücke wird bereits seit Jahren aktiv ausgenutzt. Eigentlich ist das Plugin über Einstellungen in einer .htaccess-Datei, mit der Einstellungen des Webservers Apache geändert werden können, vor dem Ausführen von PHP-Skripten geschützt. Dieser Schutz funktioniert jedoch in vielen Fällen nicht. Das Problem betrifft auch viele weitere Webapplikationen, die entweder den Code des jQuery File Upload Plugins verwenden oder ebenfalls auf den Schutz durch .htaccess-Dateien setzen.

Das Plugin ist das zweitbeliebteste jQuery-Projekt auf Github, nach jQuery selbst. Es wurde 7.800 mal geforkt. Sein Programmcode findet sich in Hunderten, wenn nicht Tausenden anderen Projekten, darunter Content Management Systems (CMS), Customer Relation Management Systems (CRM), verschiedenen Plugins für Wordpress oder Drupal, Joomla-Komponenten und vielen anderen. Entsprechend viele Systeme sind von der Sicherheitslücke betroffen.

.htaccess bietet nicht immer Schutz

Wie viele andere PHP-Webapplikationen setzte das Plugin auf .htaccess-Dateien, um die Dateien abzusichern. In .htaccces-Dateien können ordner- und dateispezifische Einstellungen für den Apache Webserver festgelegt werden. Das jQuery-Plugin verhindert beispielsweise über eine .htaccess-Datei, dass PHP-Skripte im Kontext der Webseite ausgeführt werden können.

Stellenmarkt
  1. BWI GmbH, verschiedene Standorte
  2. BWI GmbH, München, Rheinbach, Leipzig

Seit der im November 2010 erschienen Version 2.3.9 des Apache Webservers werden die .htaccess-Dateien allerdings in den Standardeinstellungen nicht mehr beachtet. Das hat zwei einfache Gründe: Zum einen leidet die Performance des Servers, wenn bei jedem Zugriff auf einen Ordner zusätzlich .htaccess-Dateien abgefragt werden müssen, zum anderen können mit den Dateien auch Sicherheitseinstellungen des Servers umgangen werden, was sich zudem von Admins schlecht kontrollieren lässt.

Kurz: Alle Versionen des jQuery File Upload Plugins, die nicht mit einem Apache Webserver mit aktivierter .htaccess-Unterstützung betrieben wurden, waren verwundbar.

Der Sicherheitsforscher Cashdollar war jedoch mitnichten der Erste, der die Lücke entdeckte: Auf Youtube lassen sich Tutorials zum Ausnutzen der Sicherheitslücke finden, die bis ins Jahr 2015 zurückreichen. Ein großes Geheimnis war die Lücke also eigentlich nicht, allerdings waren weder Sicherheitsforscher, noch der Entwickler Sebastian Tschan oder einer der zahlreichen Forks auf die Lücke aufmerksam geworden.

Das Problem liegt tiefer 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. 3,86€
  2. 3,99€
  3. 49,86€

Vash 11. Nov 2018

Eine eindeutige Schuld ist keinem, bzw allen zuzuschreiben: der Entwickler der...

FreiGeistler 25. Okt 2018

Nicht dass ich die grosse Leuchte in solchen Dingen wäre, aber kann man sich das Setup...

ratti 23. Okt 2018

Ich baue seit Ende der 90er Webapplikationen. In der Zeit wäre mir kein einziger Apache...

Ninos 23. Okt 2018

Sollte bei professionelleren Projekten nicht so dramatisch sein, da das php-Skript zum...

mtr (golem.de) 23. Okt 2018

Hallo hemelin, Danke für den Hinweis. Haben wir geändert. LG Moritz


Folgen Sie uns
       


Bewerbungsgespräch mit der KI vom DFKI - Bericht

Wir haben uns beim DFKI in Saarbrücken angesehen, wie das Training von Bewerbungsgesprächen mit einer Künstlichen Intelligenz funktioniert.

Bewerbungsgespräch mit der KI vom DFKI - Bericht Video aufrufen
Geforce GTX 1660 im Test: Für 230 Euro eine faire Sache
Geforce GTX 1660 im Test
Für 230 Euro eine faire Sache

Die Geforce GTX 1660 - ohne Ti am Ende - rechnet so flott wie AMDs Radeon RX 590 und kostet in etwa das Gleiche. Der klare Vorteil der Nvidia-Grafikkarte ist die drastisch geringere Leistungsaufnahme.

  1. EC2 G4 AWS nutzt Nvidias Tesla T4 für Inferencing-Cloud
  2. Zotac Geforce GTX 1660 Ti im Test Gute 1440p-Karte für unter 300 Euro
  3. Nvidia Turing OBS unterstützt Encoder der Geforce RTX

FreeNAS und Windows 10: Der erste NAS-Selbstbau macht glücklich
FreeNAS und Windows 10
Der erste NAS-Selbstbau macht glücklich

Es ist gar nicht so schwer, wie es aussieht: Mit dem Betriebssystem FreeNAS, den richtigen Hardwarekomponenten und Tutorials baue ich mir zum ersten Mal ein NAS-System auf und lerne auf diesem Weg viel darüber - auch warum es Spaß macht, selbst zu bauen, statt fertig zu kaufen.
Ein Erfahrungsbericht von Oliver Nickel

  1. TS-332X Qnaps Budget-NAS mit drei M.2-Slots und 10-GBit-Ethernet

Fido-Sticks im Test: Endlich schlechte Passwörter
Fido-Sticks im Test
Endlich schlechte Passwörter

Sicher mit nur einer PIN oder einem schlechten Passwort: Fido-Sticks sollen auf Tastendruck Zwei-Faktor-Authentifizierung oder passwortloses Anmelden ermöglichen. Golem.de hat getestet, ob sie halten, was sie versprechen.
Ein Test von Moritz Tremmel

  1. Datenschutz Facebook speicherte Millionen Passwörter im Klartext
  2. E-Mail-Marketing Datenbank mit 800 Millionen E-Mail-Adressen online
  3. Webauthn Standard für passwortloses Anmelden verabschiedet

    •  /