WordPress Kommentar-Funktion mit Sicherheitslücke
Sicherheitslücke in der WordPress Kommentar-Funktion
Im IT-Bereich wird ein Software-Fehler, der es zulässt, dass ein Angreifer in ein Computersystem eindringen kann, um dort Änderungen vorzunehmen, als Sicherheitslücke bezeichnet. In den WordPress Standardeinstellungen entdeckte jetzt der Systemsicherheits-Experte Simon Scanell eine solche Sicherheitslücke in der WordPress Kommentar-Funktion.
WordPress bleibt „Hackers Freund“
Das Content Management System WordPress wird häufig von kleinen und mittelständischen Unternehmen genutzt oder ist bei Vereinen und Privatanwendern im Einsatz. Oft soll mit dem einfachen System und nachlässiger System-Wartung das „Internet-Budget“ geschont werden, was fatale Folgen haben kann, wie sich im Fall der Funktion WordPress Kommentar wieder zeigt.
WordPress ist häufig über installierte Erweiterungen (sogenannte Plugins) oder nicht gepflegte oder gekaufte Themes verwundbar. Im November 2018 erst wurde eine Sicherheitslücke im DSGVO-Plugin WP GDPR Compliance öffentlich. Angreifer konnten hier unkompliziert Administrator-Konten registrieren und damit komplette Webseiten steuern und verändern.
WordPress Kommentar-Funktion aktiv
Um die jetzt kombinierten Sicherheitslücken zu nutzen und Schadcode in WordPress auszuführen, waren die Standardeinstellungen des Systems und ein angemeldeter Administrator ausreichend. Über einen sogenannten „Cross-Site-Request-Forgery-Angriff“ (CSRF) kann der Angreifer im Namen eines angemeldeten Benutzers Kommentare schreiben. Die Funktion WordPress Kommentar ist nicht gegen derartige Angriffe geschützt.
Der angemeldete Administrator wurde auf eine präparierte Webseite gelockt und mit einem Trick gelang es den Angreifern, Schadcode in einem Onmouseover-Befehl unterzubringen. WordPress erlaubt Administrator die Bearbeitung von PHP-Dateien in Themes und Erweiterungen über das Dashboard von WordPress. So kann PHP-Schadcode auf dem Server ausgeführt werden.
Welche Systeme sind gefährdet?
Betroffen sind WordPress-Installationen vor Version 5.1.1. Die Sicherheitslücke wurde mit Veröffentlichung der Version 5.1.1 behoben. Die meisten WordPress-Systeme sollten durch die automatische Update-Funktion aktualisiert worden sein. Dennoch raten wir zur Vorsicht und zur Prüfung des Systems. Die Kommentarfunktion kann auch sicherheitshalber desaktiviert werden.
So kann Simple Web-Solutions helfen:
Wir prüfen Ihre WordPress-Installation auf Aktualität und spielen alle für das System relevanten Sicherheitsupdates ein. Mit einem Service-Vertrag sind Sie auf der sicheren Seite, denn einmal im Monat prüft und aktualisiert ein Mitarbeiter Ihr System. Bei Bekanntwerden von schweren Sicherheitslücken reagieren wir sofort. So müssen Sie sich nicht mehr um sicherheitsrelevante Dinge in Ihrem Content Management System (CMS) kümmern und können sich ganz Ihren Kunden widmen. Sprechen Sie uns einfach an.
Mehr Informationen:
t3n.de | golem.de | Blog Simple Web-Solutions: WordPress 5 Gutenberg
