News

WordPress-Update: Sicherheitslücke gefährdete 27 Prozent aller Websites

(Foto: Shutterstock)

Sicherheitsforscher haben eine schwerwiegende Sicherheitslücke im Update-Mechanismus von WordPress entdeckt. Damit hätten theoretisch unzählige Websites gekapert werden können.

WordPress: Schwere Sicherheitslücke im Update-Mechanismus entdeckt

Eine schwerwiegende Sicherheitslücke im Update-Mechanismus von WordPress hätte es Angreifern ermöglicht, Schadcode an Millionen von Websites zu verteilen. Entdeckt wurde die Sicherheitslücke von Sicherheitsforschern des Unternehmens Wordfence. Die haben WordPress auf das Problem aufmerksam gemacht – und es wurde schnell reagiert: Innerhalb weniger Stunden wurde die Sicherheitslücke geschlossen und der Wordfence-Entwickler Matt Berry bekam eine Belohnung für die Aufdeckung der Sicherheitslücke.

Konkret ging es bei der Sicherheitslücke um ein Problem eines PHP-Webhooks, der eigentlich die Echtheit von Updates gewährleisten soll. Dazu generiert er aus einem Geheimnis und den eigentlichen Update-Daten einen Keyed-Hash Message Authentication Code oder kurz HMAC. Laut Wordfence konnte ein Angreifer jedoch auch einen Hash-Algorithmus wie crc32, fnv32 oder adler32 einsetzen, und so durch Ausprobieren von Prüfsummen einen gültigen HMAC vortäuschen.

Über den Update-Mechanismus von WordPress konnte Schadcode ausgeliefert werden. (Grafik: Wordfence)

Über den Update-Mechanismus von WordPress konnte Schadcode ausgeliefert werden. (Grafik: Wordfence)

WordPress: Potenziell waren 27 Prozent aller Websites betroffen

Laut einem Blogbeitrag von Wordfence konnte ein so vorgetäuschter HMAC in wenigen Stunden erstellt werden, ohne dass der WordPress-Server die Brute-Force-Methode irgendwie unterbrochen hätte. Das ist extrem problematisch, weil der automatische Update-Mechanismus standardmäßig bei allen WordPress-Installationen aktiviert ist. WordPress ist das am weitesten verbreitete Content-Management-System und wird laut W3Techs von mehr als 27 Prozent aller Websites eingesetzt.

Trotz der schnellen Reaktionszeit von WordPress bleibt der zentrale Update-Server ein potentielles Sicherheitsrisiko, da sich über ihn unzählige Websites attackieren ließen. Andererseits gibt es derzeit aber auch keine bessere Lösung, um WordPress-Seiten schnell mit sicherheitsrelevanten Updates zu versorgen.

Ebenfalls interessant:

via www.heise.de

Bitte beachte unsere Community-Richtlinien

Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.

Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.

Dein t3n-Team

2 Kommentare
Horttcore
Horttcore

Ihr habt WordPress schon wieder falsch geschrieben :-(
Solltet ihr mal vielleicht in eure Rechtschreibprüfung aufnehmen.

Antworten
Alexander Nink

@Hortcore also bitte! Das ist typisch deutsch. Nach so einem wichtigen Beitrag sich darauf aufreiben ob es „WordPress“ oder „WordPress“ geschrieben wird. In einem Werbeprospekt lasse ich es mir gefallen, in einem redaktionellen Artikel nicht.

Antworten

Melde dich mit deinem t3n Account an oder fülle die unteren Felder aus.