Weitere Cross-Site-Scripting-Lücke in WordPress entdeckt [Update] Patch verfügbar

Der finnische Sicherheitsforscher Jouko Pynnönen vom Security-Unternehmen Klikki hat auf eine von ihm entdeckte Schwachstelle in der Blogging-Software WordPress hingewiesen. Angreifer könnten sie ausnutzen, um über ein Kommentarfeld einer Website schädlichen JavaScript-Code zu injizieren. Mittels eines Cross-Site-Scripting-Angriffs sei es so möglich, Nutzerdaten zu stehlen, heißt es in einem Blogbeitrag. Betroffen seien alle WordPress-Versionen bis hin zur aktuellen Ausgabe 4.2.

Aktiviert wird der eingeschleuste JavaScript-Code, sobald der Nutzer den entsprechenden Kommentar in einem Browser aufruft. „Sollte er von einem Administrator ausgelöst werden, kann ein Angreifer bei Standardeinstellungen die Schwachstelle ausnutzen, um über die Plug-in- und Theme-Editoren Schadcode auf dem Server auszuführen“, erklärt Klikki. „Alternativ kann der Angreifer das Administrator-Passwort ändern, ein neues Administratorkonto anlegen oder alles das tun, wozu der aktuell angemeldete Administrator auf dem Zielsystem berechtigt ist.“

Das Problem resultiert Klikki zufolge aus einer fehlerhaften Verarbeitung von überlangen Kommentaren mit mehr als 64 KByte Größe. WordPress filtert solche Kommentare zwar, kürzt sie dann aber automatisch beim Einfügen in die Datenbank. Das Ergebnis ist missgestaltetes HTML, dessen Attribute vom Kommentarschreiber kontrolliert werden können. Auf diese Weise ist es ihm möglich, gültigen JavaScript-Code an der Filterung vorbeizuschleusen.

Um die dafür erforderliche Größe zu erreichen, muss der Kommentar über 65.000 Zeichen lang sein, wie Klikki festhält. Um tatsächlich freigeschaltet zu werden, müsse der manipulierte Kommentar zudem die Moderationsfunktionen von WordPress umgehen. Dazu könnte der Angreifer beispielsweise zunächst einen ersten harmlosen Kommentar verfassen. Denn Nutzer, deren Kommentare einmal akzeptiert wurden, können weitere normalerweise unmoderiert einstellen.

Das Sicherheitsunternehmen hat bereits Proof-of-Concept-Code für die Lücke und ein Video veröffentlicht, in dem es seinen Exploit demonstriert. Auf Twitter schreibt Pynnönen, dass er seit November vergeblich auf Antwort von den WordPress-Entwicklern und dem finnischen CERT warte.

WordPress arbeitet eigenen Angaben zufolge an einem Fix, nannte aber noch keinen Veröffentlichungstermin dafür. Klikki rät bis zum Erscheinen des Patches dazu, die Kommentarfunktion zu deaktivieren oder das Plug-in Akismet zur Absicherung von Websites zu nutzen.

Erst vergangene Woche hatte WordPress mit dem Update auf Version 4.1.2 eine ähnliche Cross-Site-Scripting-Lücke geschlossen. Sie erlaubte es anonymen Nutzern, eine Website zu kompromittieren. Außerdem wurden drei weitere Anfälligkeiten beseitigt, die unter anderem das Hochladen von Dateien mit ungültigen oder unsicheren Namen ermöglichten. In den letzten Tagen und Wochen wurden auch zahlreiche WordPress-Plug-ins aktualisiert, um eine weitverbreitete Cross-Site-Scripting-Lücke zu beheben, die auf dem falschen Gebrauch der Funktionen add_query_arg() and remove_query_arg() beruhte. Er war zuvor in der offiziellen WordPress-Dokumentation unklar beschrieben worden.

[Update 28.4.2015 9.15 Uhr]

Die WordPress-Entwickler haben am gestrigen späten Abend ein Update für die Sicherheitslücke bereitgestellt. Wie dem Blog-Eintrag zu entnehmen ist, hat das Release-Team nur wenige Stunden benötigt, um die Cross-Site-Scripting-Lücke mit WordPress 4.2.1 zu schließen. Sofern die Hintergrund-Aktualisierung nicht deaktiviert wurde, wird die Version automatisch eingespielt.

[mit Material von Matthew Broersma, TechWeekEurope.co.uk]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de