Der finnische Sicherheitsforscher Jouko Pynnönen vom Security-Unternehmen Klikki hat auf eine von ihm entdeckte Schwachstelle in der Blogging-Software WordPress hingewiesen. Angreifer könnten sie ausnutzen, um über ein Kommentarfeld einer Website schädlichen JavaScript-Code zu injizieren. Mittels eines Cross-Site-Scripting-Angriffs sei es so möglich, Nutzerdaten zu stehlen, heißt es in einem Blogbeitrag. Betroffen seien alle WordPress-Versionen bis hin zur aktuellen Ausgabe 4.2.
Das Problem resultiert Klikki zufolge aus einer fehlerhaften Verarbeitung von überlangen Kommentaren mit mehr als 64 KByte Größe. WordPress filtert solche Kommentare zwar, kürzt sie dann aber automatisch beim Einfügen in die Datenbank. Das Ergebnis ist missgestaltetes HTML, dessen Attribute vom Kommentarschreiber kontrolliert werden können. Auf diese Weise ist es ihm möglich, gültigen JavaScript-Code an der Filterung vorbeizuschleusen.
Um die dafür erforderliche Größe zu erreichen, muss der Kommentar über 65.000 Zeichen lang sein, wie Klikki festhält. Um tatsächlich freigeschaltet zu werden, müsse der manipulierte Kommentar zudem die Moderationsfunktionen von WordPress umgehen. Dazu könnte der Angreifer beispielsweise zunächst einen ersten harmlosen Kommentar verfassen. Denn Nutzer, deren Kommentare einmal akzeptiert wurden, können weitere normalerweise unmoderiert einstellen.
Das Sicherheitsunternehmen hat bereits Proof-of-Concept-Code für die Lücke und ein Video veröffentlicht, in dem es seinen Exploit demonstriert. Auf Twitter schreibt Pynnönen, dass er seit November vergeblich auf Antwort von den WordPress-Entwicklern und dem finnischen CERT warte.
WordPress arbeitet eigenen Angaben zufolge an einem Fix, nannte aber noch keinen Veröffentlichungstermin dafür. Klikki rät bis zum Erscheinen des Patches dazu, die Kommentarfunktion zu deaktivieren oder das Plug-in Akismet zur Absicherung von Websites zu nutzen.
Erst vergangene Woche hatte WordPress mit dem Update auf Version 4.1.2 eine ähnliche Cross-Site-Scripting-Lücke geschlossen. Sie erlaubte es anonymen Nutzern, eine Website zu kompromittieren. Außerdem wurden drei weitere Anfälligkeiten beseitigt, die unter anderem das Hochladen von Dateien mit ungültigen oder unsicheren Namen ermöglichten. In den letzten Tagen und Wochen wurden auch zahlreiche WordPress-Plug-ins aktualisiert, um eine weitverbreitete Cross-Site-Scripting-Lücke zu beheben, die auf dem falschen Gebrauch der Funktionen add_query_arg() and remove_query_arg() beruhte. Er war zuvor in der offiziellen WordPress-Dokumentation unklar beschrieben worden.
[Update 28.4.2015 9.15 Uhr]
Die WordPress-Entwickler haben am gestrigen späten Abend ein Update für die Sicherheitslücke bereitgestellt. Wie dem Blog-Eintrag zu entnehmen ist, hat das Release-Team nur wenige Stunden benötigt, um die Cross-Site-Scripting-Lücke mit WordPress 4.2.1 zu schließen. Sofern die Hintergrund-Aktualisierung nicht deaktiviert wurde, wird die Version automatisch eingespielt.
[mit Material von Matthew Broersma, TechWeekEurope.co.uk]
Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…
Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…
Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.
Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…
Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…
Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…
