Das Sicherheitsunternehmen Checkmarx hat kritische Schwachstellen in Plug-ins für die führende Blogging-Plattform WordPress gemeldet. Nach ihren Informationen wurden die Ergänzungen für WordPress mehrere Millionen Mal heruntergeladen – entsprechend viele Websites könnten betroffen sein.
Gefährdet seien vor allem diverse E-Commerce-Add-ons, schreiben die Experten aus Tel Aviv in ihrer 7-seitigen Studie (PDF). Die Fehler lassen es zu, dass Kriminelle fremde WordPress-Server nutzen, um Malware zu verteilen. Insgesamt seien 18 Plug-ins betroffen.
Die Programmergänzungen sind alle – wie WordPress selbst auch – quelloffen. Für die Studie hat Checkmarx zweimal die 50 jeweils bestbewerteten Add-ons für das Redaktionssystem überprüft – erst im Januar und dann wieder Anfang Juni. Die 18 als fehlerhaft identifizierten Komponenten wurden zusammen 18,5 Millionen Mal heruntergeladen. Alle waren zwischen den beiden Tests aktualisiert worden, aber die gefundene Lücke nur in sechs Fällen verschwunden.
Bei seinen Tests im Juni kam Checkmarx außerdem zu dem Ergebnis, dass mehr als 20 Prozent der Top 50 anfällig für verbreitete Methoden wie SQL Injection und Cross-Site Scripting sind. Dies gefährdet jede Site, die eines der Programme einsetzt. SQL Injection in Form von präparierten relationalen Abfragen in Suchboxen kann beispielsweise Datenbanken dazu bringen, falsche Informationen abzurufen oder ein Log-in ohne korrekte Anmeldedaten zu ermöglichen. Automatisierungstools machen diese Art Angriff einfach durchzuführen.
Checkmarx hat die betroffenen Erweiterungen nicht beim Namen genannt. Es seien aber auch solche für Anbindung von Facebook und Zugriff auf APIs dabei, heißt es. Im Bereich E-Commerce habe man in sieben der Top-10-Downloads Lücken gefunden, die sich auf bisher 1,7 Millionen Downloads addierten.
Natürlich gebe es bei anderen CMS-Anbietern wahrscheinlich ähnliche Probleme, aber das sei kein Trost: Kriminelle könnten nicht nur persönliche Daten von Benutzern ergaunern, einschließlich medizinischer Daten und Bankverbindungen, auch die betroffene Site lasse sich zum Malware-Multiplikator umfunktionieren, in ein Botnetz aufnehmen oder schlicht entstellen.
[mit Material von Tom Brewster, TechWeekEurope.co.uk]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Erstmals liegen Preise für Verbraucher vor. Sie zahlen weniger als Geschäftskunden. Dafür beschränkt Microsoft den…
Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…
Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.
2023 erlitten neun von zehn Unternehmen in der DACH-Region Umsatzverluste und Kurseinbrüche in Folge von…
Der Report „Pacific Rim“ von Sophos beschreibt Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit staatlich unterstützten…
NVIDIA DGX SuperPOD soll voraussichtlich Mitte 2025 in Betrieb genommen und für Forschungsberechnungen genutzt werden.
