Das Sicherheitsunternehmen Checkmarx hat kritische Schwachstellen in Plug-ins für die führende Blogging-Plattform WordPress gemeldet. Nach ihren Informationen wurden die Ergänzungen für WordPress mehrere Millionen Mal heruntergeladen – entsprechend viele Websites könnten betroffen sein.
Gefährdet seien vor allem diverse E-Commerce-Add-ons, schreiben die Experten aus Tel Aviv in ihrer 7-seitigen Studie (PDF). Die Fehler lassen es zu, dass Kriminelle fremde WordPress-Server nutzen, um Malware zu verteilen. Insgesamt seien 18 Plug-ins betroffen.
Die Programmergänzungen sind alle – wie WordPress selbst auch – quelloffen. Für die Studie hat Checkmarx zweimal die 50 jeweils bestbewerteten Add-ons für das Redaktionssystem überprüft – erst im Januar und dann wieder Anfang Juni. Die 18 als fehlerhaft identifizierten Komponenten wurden zusammen 18,5 Millionen Mal heruntergeladen. Alle waren zwischen den beiden Tests aktualisiert worden, aber die gefundene Lücke nur in sechs Fällen verschwunden.
Bei seinen Tests im Juni kam Checkmarx außerdem zu dem Ergebnis, dass mehr als 20 Prozent der Top 50 anfällig für verbreitete Methoden wie SQL Injection und Cross-Site Scripting sind. Dies gefährdet jede Site, die eines der Programme einsetzt. SQL Injection in Form von präparierten relationalen Abfragen in Suchboxen kann beispielsweise Datenbanken dazu bringen, falsche Informationen abzurufen oder ein Log-in ohne korrekte Anmeldedaten zu ermöglichen. Automatisierungstools machen diese Art Angriff einfach durchzuführen.
Checkmarx hat die betroffenen Erweiterungen nicht beim Namen genannt. Es seien aber auch solche für Anbindung von Facebook und Zugriff auf APIs dabei, heißt es. Im Bereich E-Commerce habe man in sieben der Top-10-Downloads Lücken gefunden, die sich auf bisher 1,7 Millionen Downloads addierten.
Natürlich gebe es bei anderen CMS-Anbietern wahrscheinlich ähnliche Probleme, aber das sei kein Trost: Kriminelle könnten nicht nur persönliche Daten von Benutzern ergaunern, einschließlich medizinischer Daten und Bankverbindungen, auch die betroffene Site lasse sich zum Malware-Multiplikator umfunktionieren, in ein Botnetz aufnehmen oder schlicht entstellen.
[mit Material von Tom Brewster, TechWeekEurope.co.uk]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
4 Kommentare zu Sicherheitslücken in WordPress-Plug-ins betreffen Millionen Websites
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Nun ja, wenn die Plugins nicht beim Namen genannt werden, fällt es bei mir in die Rubrik „Allgemeine Hinweise zur Verwendung von Plugins“. Mehr nicht. Behaupten kann man dann vieles.
So sehe ich das auch. Der Artikel ist für den Leser uninteressant, ja gänzlich nutzlos.
Diese Angriffe sind ein ständiges Ärgernis. Auch bei meiner Seite personal-wissen.de wurde es bereits mehrfach versucht. Bisher ist es denen aber nicht gelungen.
Vielen Dank für den Hinweis mit dem Plugin. Das werde ich auf jeden Fall mal ausprobieren.
Vielen Dank für den Artikel, ich habe eben ein Whitepaper für eCommerce mit WordPress fertiggestellt und war ganz erschrocken. Glücklicherweise gehören die von mir untersuchten Plugins nicht zu den betroffenen, sondern wurden laut Studie innerhalb von 6 Monaten sorgfältig abgesichert. Das WordPress Shop Whitepaper habe ich hier veröffentlicht.
Noch ein Wort zu Brute Force Angriffen: es gibt tolle Sicherheitsplugins, wie Limit Login Attempts (siehe Repository) o.a., die vor solchen Attacken schützen. Dummerweise habe ich den Setup aber so konfiguriert, dass mir als Admin nach 8 fehlgeschlagenen Logins eine Mail geschickt wird. Was soll ich sagen: ich konnte 2 Tage keine Mails bearbeiten, weil mein Account durch die Flut an Hinweismails praktisch lahmgelegt war. Ich konnte anhand der Anzahl der Mails nur erahnen, wie oft das Skript versucht hat, sich einzuloggen… weit über 10.000 mal mit immer neuen IPs. Also selbst wenn man sich dagegen absichert, sollte man keine email notification einstellen sondern sich lieber im Dashboard die Logfiles ansehen.