Webapplikationen: Sicherheitslücke in jQuery-Plugin wird aktiv ausgenutzt

Ein jQuery-Plugin erlaubt es, unter bestimmten Bedingungen PHP-Dateien auf den Server zu laden und auszuführen. Das Problem sitzt jedoch tiefer: Viele Webapplikationen bauen auf den Schutz von Apaches .htaccess-Dateien. Der ist jedoch häufig wirkungslos.

Artikel veröffentlicht am ,
Viele Webapplikationen sind nicht abgesichert.
Viele Webapplikationen sind nicht abgesichert. (Bild: Fauno/CC0 1.0)

Der Mitarbeiter des CDN-Anbieters Akamai Larry Cashdollar entdeckte eine Sicherheitslücke in dem beliebten jQuery File Upload Plugin. Die Lücke in der Software erlaubt das Hochladen beliebiger Dateien, auch PHP-Dateien, mit denen Schadcode ausgeführt werden kann.

Inhalt:
  1. Webapplikationen: Sicherheitslücke in jQuery-Plugin wird aktiv ausgenutzt
  2. Das Problem liegt tiefer

Die Lücke wird bereits seit Jahren aktiv ausgenutzt. Eigentlich ist das Plugin über Einstellungen in einer .htaccess-Datei, mit der Einstellungen des Webservers Apache geändert werden können, vor dem Ausführen von PHP-Skripten geschützt. Dieser Schutz funktioniert jedoch in vielen Fällen nicht. Das Problem betrifft auch viele weitere Webapplikationen, die entweder den Code des jQuery File Upload Plugins verwenden oder ebenfalls auf den Schutz durch .htaccess-Dateien setzen.

Das Plugin ist das zweitbeliebteste jQuery-Projekt auf Github, nach jQuery selbst. Es wurde 7.800 mal geforkt. Sein Programmcode findet sich in Hunderten, wenn nicht Tausenden anderen Projekten, darunter Content Management Systems (CMS), Customer Relation Management Systems (CRM), verschiedenen Plugins für Wordpress oder Drupal, Joomla-Komponenten und vielen anderen. Entsprechend viele Systeme sind von der Sicherheitslücke betroffen.

.htaccess bietet nicht immer Schutz

Wie viele andere PHP-Webapplikationen setzte das Plugin auf .htaccess-Dateien, um die Dateien abzusichern. In .htaccces-Dateien können ordner- und dateispezifische Einstellungen für den Apache Webserver festgelegt werden. Das jQuery-Plugin verhindert beispielsweise über eine .htaccess-Datei, dass PHP-Skripte im Kontext der Webseite ausgeführt werden können.

Stellenmarkt
  1. Cloud Engineer (m/w/d) (Home-Office möglich)
    glueckkanja-gab AG, Offenbach am Main
  2. IT-Systemadministrator*in
    Fraunhofer-Einrichtung für Wertstoffkreisläufe und Ressourcenstrategie IWKS, Alzenau
Detailsuche

Seit der im November 2010 erschienen Version 2.3.9 des Apache Webservers werden die .htaccess-Dateien allerdings in den Standardeinstellungen nicht mehr beachtet. Das hat zwei einfache Gründe: Zum einen leidet die Performance des Servers, wenn bei jedem Zugriff auf einen Ordner zusätzlich .htaccess-Dateien abgefragt werden müssen, zum anderen können mit den Dateien auch Sicherheitseinstellungen des Servers umgangen werden, was sich zudem von Admins schlecht kontrollieren lässt.

Kurz: Alle Versionen des jQuery File Upload Plugins, die nicht mit einem Apache Webserver mit aktivierter .htaccess-Unterstützung betrieben wurden, waren verwundbar.

Der Sicherheitsforscher Cashdollar war jedoch mitnichten der Erste, der die Lücke entdeckte: Auf Youtube lassen sich Tutorials zum Ausnutzen der Sicherheitslücke finden, die bis ins Jahr 2015 zurückreichen. Ein großes Geheimnis war die Lücke also eigentlich nicht, allerdings waren weder Sicherheitsforscher, noch der Entwickler Sebastian Tschan oder einer der zahlreichen Forks auf die Lücke aufmerksam geworden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Das Problem liegt tiefer 
  1. 1
  2. 2
  3.  


Aktuell auf der Startseite von Golem.de
Sysadmin Day 2021
Immer mit dem Ohr an der Festplatte

Zum Sysadmin Day ein Blick auf einen Beruf, den ich fast zehn Jahre ausübte und immer wieder merkte: Ohne ausgeprägte Flexibilität ist er kaum zu bewältigen.
Ein Erfahrungsbericht von Jörg Thoma

Sysadmin Day 2021: Immer mit dem Ohr an der Festplatte
Artikel
  1. Black Widow: Scarlett Johansson verklagt Disney
    Black Widow
    Scarlett Johansson verklagt Disney

    Scarlett Johansson hat wegen des Veröffentlichungsmodells von Black Widow Klage eingereicht. Disney nennt das Verhalten "herzlos".

  2. Microsoft: Windows 11 erreicht Beta-Status
    Microsoft
    Windows 11 erreicht Beta-Status

    Das neue Windows 11 ist Hersteller Microsoft nun offenbar stabil genug für regelmäßige Tests durch Nutzer. Noch gibt es aber nicht alle Funktionen.

  3. Akkutechnik: CATL stellt erste Natrium-Ionen-Akkus für Autos vor
    Akkutechnik
    CATL stellt erste Natrium-Ionen-Akkus für Autos vor

    160 Wh pro Kilogramm. 80 Prozent Akkuladung in 15 Minuten. 90 Prozent Kapazität bei minus 20 Grad Celsius. CATL startet eine neue Ära der Akku-Technik.
    Eine Analyse von Frank Wunderlich-Pfeiffer

Vash 11. Nov 2018

Eine eindeutige Schuld ist keinem, bzw allen zuzuschreiben: der Entwickler der...

FreiGeistler 25. Okt 2018

Nicht dass ich die grosse Leuchte in solchen Dingen wäre, aber kann man sich das Setup...

ratti 23. Okt 2018

Ich baue seit Ende der 90er Webapplikationen. In der Zeit wäre mir kein einziger Apache...

Ninos 23. Okt 2018

Sollte bei professionelleren Projekten nicht so dramatisch sein, da das php-Skript zum...

mtr (golem.de) 23. Okt 2018

Hallo hemelin, Danke für den Hinweis. Haben wir geändert. LG Moritz



  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Mega-Marken-Sparen bei MediaMarkt (u. a. Lenovo & Razer) • Tag der Freundschaft bei Saturn: 1 Produkt zahlen, 2 erhalten • Razer Deathadder V2 Pro Gaming-Maus 95€ • Alternate-Deals (u. a. Kingston 16GB Kit DDR4-3200MHz 81,90€) • Razer Kraken X Gaming-Headset 44€ [Werbung]
    •  /