Sicherheitsfirma veröffentlicht Zero-Day-Lücken in Facebooks WordPress-Plug-in

Ein US-Sicherheitsanbieter hat Details zu zwei Zero-Day-Lücken in zwei offiziellen WordPress-Plug-ins von Facebook veröffentlicht. Das Unternehmen stellt zudem Beispielcode zur Verfügung, den Cyberkriminelle nutzen könnten, um eigene Exploits zu entwickeln und Angriffe gegen Websites zu starten, die eines der beiden anfälligen Plug-ins einsetzen.

Betroffen sind die WordPress-Plug-ins Messenger Customer Chat und Facebook for WooCommerce. Ersteres integriert ein Messenger-Chat-Fenster in eine WordPress-Seite, letzteres erlaubt es, auf WooCommerce basierende Online-Shops mit Facebook-Seiten zu verknüpfen.

Das Chat-Plug-in wird von mehr als 20.000 Websites genutzt. Das WooCommerce-Plug-in bringt es sogar auf rund 200.000 Installationen, da es seit Mitte April als fester Bestandteil des WooCommerce-Online-Store-Plug-ins für WordPress angeboten wird.

Die Veröffentlichung der beide Anfälligkeiten ist einem Streit zwischen ihrem Entdecker, dem in Denver ansässigen Unternehmen White Fir Design und dem Moderatoren-Team des WordPress-Forums geschuldet, der wohl schon seit Jahren andauert. Auslöser war eine neue Regel des Forums, wonach Sicherheitslücken nicht mehr im Forum veröffentlicht werden dürfen und stattdessen dem WordPress-Team gemeldet werden müssen, welches dann mit den Entwicklern von Plug-ins in Kontakt tritt.

Das Plugin Vulnerability Team von White Fir Design hielt jedoch an der Praxis fest, sicherheitsrelevante Fehler über das Forum zu melden. Das führte schließlich zur Sperrung des Forum-Kontos der Sicherheitsforscher.

Im Frühjahr entschlossen sich die Sicherheitsforscher, den Konflikt zu eskalieren. Statt Nutzer im Forum auf Sicherheitsprobleme hinzuweisen, veröffentlichten Sie Einträge im eigenen Firmenblog mit einer genauen Analyse der Schwachstellen und einem Proof-of-Concept. Davon betroffen waren unter anderem Plug-ins wie Easy WP SMTP, Yuzo Related Posts, Social Warfare und WooCommerce Checkout Manager.

Hacker wiederum entdeckten diese Quelle für sich, um die Fehler in den WordPress-Plug-ins in ihre Malware-Kampagnen einzubeziehen – was zu erfolgreichen Angriffen auch auf namhafte Websites führte.

Die jetzt veröffentlichten Schwachstellen ermöglichen Cross-Site-Request-Forgery-Angriffe auf WordPress-Seiten, die eines der fraglichen Facebook-Plug-ins nutzen. Angemeldete Benutzer sind unter Umständen in der Lage, Optionen von WordPress-Seiten zu ändern und so die vollständige Kontrolle zu übernehmen.

Ihr Vorgehen begründeten die Forscher zudem mit angeblich unklaren Regeln von Facebooks Bug-Bounty-Programm. So soll nicht klar sein, ob Facebook auch Belohnungen für Fehler in WordPress-Plug-ins zahlt. Außerdem sei das Programm nur für Nutzer mit einem Facebook-Konto zugänglich.

Warum sich das US-Unternehmen für eine Eskalation des Streits entschieden hat, ist nicht bekannt. Es wird vermutet, dass White Fir Design auch deswegen so hart reagiert, weil ihm die Möglichkeit genommen wurde, im WordPress-Forum nebenbei für das eigene Sicherheits-Plug-in für WordPress zu werben.