Ein US-Sicherheitsanbieter hat Details zu zwei Zero-Day-Lücken in zwei offiziellen WordPress-Plug-ins von Facebook veröffentlicht. Das Unternehmen stellt zudem Beispielcode zur Verfügung, den Cyberkriminelle nutzen könnten, um eigene Exploits zu entwickeln und Angriffe gegen Websites zu starten, die eines der beiden anfälligen Plug-ins einsetzen.
Das Chat-Plug-in wird von mehr als 20.000 Websites genutzt. Das WooCommerce-Plug-in bringt es sogar auf rund 200.000 Installationen, da es seit Mitte April als fester Bestandteil des WooCommerce-Online-Store-Plug-ins für WordPress angeboten wird.
Die Veröffentlichung der beide Anfälligkeiten ist einem Streit zwischen ihrem Entdecker, dem in Denver ansässigen Unternehmen White Fir Design und dem Moderatoren-Team des WordPress-Forums geschuldet, der wohl schon seit Jahren andauert. Auslöser war eine neue Regel des Forums, wonach Sicherheitslücken nicht mehr im Forum veröffentlicht werden dürfen und stattdessen dem WordPress-Team gemeldet werden müssen, welches dann mit den Entwicklern von Plug-ins in Kontakt tritt.
Das Plugin Vulnerability Team von White Fir Design hielt jedoch an der Praxis fest, sicherheitsrelevante Fehler über das Forum zu melden. Das führte schließlich zur Sperrung des Forum-Kontos der Sicherheitsforscher.
Im Frühjahr entschlossen sich die Sicherheitsforscher, den Konflikt zu eskalieren. Statt Nutzer im Forum auf Sicherheitsprobleme hinzuweisen, veröffentlichten Sie Einträge im eigenen Firmenblog mit einer genauen Analyse der Schwachstellen und einem Proof-of-Concept. Davon betroffen waren unter anderem Plug-ins wie Easy WP SMTP, Yuzo Related Posts, Social Warfare und WooCommerce Checkout Manager.
Hacker wiederum entdeckten diese Quelle für sich, um die Fehler in den WordPress-Plug-ins in ihre Malware-Kampagnen einzubeziehen – was zu erfolgreichen Angriffen auch auf namhafte Websites führte.
Die jetzt veröffentlichten Schwachstellen ermöglichen Cross-Site-Request-Forgery-Angriffe auf WordPress-Seiten, die eines der fraglichen Facebook-Plug-ins nutzen. Angemeldete Benutzer sind unter Umständen in der Lage, Optionen von WordPress-Seiten zu ändern und so die vollständige Kontrolle zu übernehmen.
Ihr Vorgehen begründeten die Forscher zudem mit angeblich unklaren Regeln von Facebooks Bug-Bounty-Programm. So soll nicht klar sein, ob Facebook auch Belohnungen für Fehler in WordPress-Plug-ins zahlt. Außerdem sei das Programm nur für Nutzer mit einem Facebook-Konto zugänglich.
Warum sich das US-Unternehmen für eine Eskalation des Streits entschieden hat, ist nicht bekannt. Es wird vermutet, dass White Fir Design auch deswegen so hart reagiert, weil ihm die Möglichkeit genommen wurde, im WordPress-Forum nebenbei für das eigene Sicherheits-Plug-in für WordPress zu werben.
Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.
Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.
Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…
Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…
Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…
Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…
Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…
