WordPress hat ein Sicherheitsupdate veröffentlicht, um sechzehn Schwachstellen zu beheben, und empfiehlt, dass Websites sofort aktualisiert werden.
Der Sicherheitshinweis enthielt keine Beschreibung des Schweregrads der Sicherheitslücken, aber angesichts der Arten von Sicherheitslücken, die WordPress erkannt hat, und der großen Anzahl von ihnen, kann es eine gute Idee sein, diese Sicherheitsveröffentlichung ernst zu nehmen.
Von WordPress gepatchte Sicherheitslücken
Es gibt insgesamt sechzehn Fixes in dieser Sicherheitsversion, die mehrere Arten von Schwachstellen beheben.
Dies ist eine Liste der behobenen Schwachstellen:
- 9 XSS-Probleme, von denen 6 gespeicherte XSS sind
- 2 Schwachstellen im Zusammenhang mit E-Mails
- 1 Cross-Site-Request-Forgery-Schwachstelle
- 1 SQL-Injection
- 1 Datenexposition (REST-Endpunkt)
- 1 Umleitung öffnen
- 1 Freigegebene Benutzerinstanzen zurücksetzen (Funktion hat vermutlich eine Schwachstelle eingeführt)
Sechs gespeicherte XSS-Schwachstellen
Bei einer gespeicherten XSS-Schwachstelle wird die Nutzlast hochgeladen und auf den Website-Servern des Opfers gespeichert.
Eine XSS-Schwachstelle tritt generell überall dort auf, wo WordPress eine Eingabe oder einen Upload zulässt.
Diese Art von Schwachstelle entsteht durch einen Fehler im Code, bei dem der Eingabepunkt nicht ausreichend filtert, was hochgeladen werden kann, was dazu führt, dass ein schädliches Skript oder eine andere unerwartete Datei hochgeladen werden kann.
Die gemeinnützige Sicherheitsseite Open Web Application Security Project (OWASP) beschreibt diese Art von Schwachstelle:
„Gespeicherte Angriffe sind solche, bei denen das injizierte Skript dauerhaft auf den Zielservern gespeichert wird, z. B. in einer Datenbank, in einem Nachrichtenforum, einem Besucherprotokoll, einem Kommentarfeld usw.
Das Opfer ruft dann das schädliche Skript vom Server ab, wenn es die gespeicherten Informationen anfordert.“
Cross-Site-Anfragefälschung
Eine Cross-Site Request Forgery (CSRF) hängt von ein wenig Social Engineering ab, um einen hochrangigen Website-Benutzer mit Administratorrechten dazu zu bringen, eine Aktion auszuführen, z. B. einem Link zu folgen.
Diese Art von Schwachstelle kann dazu führen, dass ein Administrator Aktionen ausführt, die die Website gefährden können.
Es kann sich auch auf normale Website-Benutzer auswirken, indem ein Benutzer veranlasst wird, seine Login-E-Mail zu ändern oder Geld abzuheben.
Öffne Redirect in `wp_nonce_ays`
Eine offene Weiterleitung ist ein Fehler, bei dem ein Hacker eine Weiterleitung ausnutzen kann.
In diesem Fall handelt es sich um eine Weiterleitung im Zusammenhang mit einer „Sind Sie sicher“-Meldung, um eine Aktion zu bestätigen.
Die offizielle WordPress-Beschreibung dieser Funktion lautet:
„Wenn die Aktion die Nonce-Explain-Nachricht enthält, wird sie zusammen mit der Frage „Sind Sie sicher?“ angezeigt. Botschaft.”
Eine Nonce ist ein Sicherheitstoken, das von der WordPress-Site generiert wird.
Der offizielle WordPress-Codex definiert Nonces:
„Eine Nonce ist eine „einmal verwendete Nummer“, um URLs und Formulare vor bestimmten Arten von böswilligem oder anderem Missbrauch zu schützen.
WordPress-Nonces sind keine Zahlen, sondern ein Hash aus Zahlen und Buchstaben.
…Die Sicherheitstoken von WordPress werden „Nonces“ genannt …weil sie im Wesentlichen denselben Zweck erfüllen wie Nonces.
Sie schützen vor verschiedenen Arten von Angriffen, einschließlich CSRF, aber nicht vor Replay-Angriffen, da sie nicht auf einmalige Verwendung geprüft werden.
Bei der Authentifizierung, Autorisierung oder Zugriffskontrolle sollten Sie sich niemals auf Nonces verlassen.
Schützen Sie Ihre Funktionen mit current_user_can() und gehen Sie immer davon aus, dass Nonces kompromittiert werden können.“
WordPress beschreibt nicht genau, was diese Schwachstelle ist.
Aber Google hat eine Beschreibung veröffentlicht, was eine offene Weiterleitungs-Schwachstelle ist:
„Dies ist eine besonders belastende Form des Missbrauchs, da es die Funktionalität Ihrer Website ausnutzt, anstatt einen einfachen Fehler oder eine Sicherheitslücke auszunutzen.
Spammer hoffen, Ihre Domain als vorübergehende „Zielseite“ zu verwenden, um E-Mail-Benutzer, Sucher und Suchmaschinen dazu zu verleiten, Links zu folgen, die auf Ihre Website zu verweisen scheinen, aber tatsächlich auf ihre Spam-Website umleiten.“
Angesichts dessen, wie diese Schwachstelle eine sensible sicherheits- und zugriffsbezogene Funktion betrifft, kann sie ziemlich schwerwiegend sein.
SQL-Injection aufgrund unsachgemäßer Bereinigung in `WP_Date_Query`
Dies ist eine Art von Schwachstelle, bei der der Angreifer Daten direkt in die Datenbank eingeben kann.
Eine Datenbank ist im Grunde das Herzstück einer WordPress-Seite, dort werden Passwörter, Beiträge usw. gespeichert.
Unsachgemäße Bereinigung ist ein Hinweis auf eine Sicherheitsüberprüfung, die einschränken soll, was eingegeben werden kann.
SQL-Injection-Angriffe gelten als sehr schwerwiegend, da sie dazu führen können, dass die Website kompromittiert wird.
OWASP warnt:
„SQL-Injection-Angriffe ermöglichen es Angreifern, Identitäten zu fälschen, vorhandene Daten zu manipulieren, Ablehnungsprobleme wie das Annullieren von Transaktionen oder das Ändern von Salden zu verursachen, die vollständige Offenlegung aller Daten auf dem System zu ermöglichen, die Daten zu zerstören oder sie anderweitig unzugänglich zu machen und Administratoren von zu werden der Datenbankserver.
…Die Schwere von SQL-Injection-Angriffen wird durch die Fähigkeiten und Vorstellungskraft des Angreifers und in geringerem Maße durch tiefgreifende Abwehrmaßnahmen wie Verbindungen mit geringen Berechtigungen zum Datenbankserver usw. begrenzt. Betrachten Sie SQL Injection im Allgemeinen als einen hohen Schweregrad der Auswirkung.“
WordPress-Sicherheitsversion
Die WordPress-Warnung besagt, dass dieses Sicherheitsupdate alle Versionen ab WordPress 3.7 betrifft.
Nirgendwo in der Ankündigung wurden Details zum Schweregrad einer der Schwachstellen angegeben.
Es ist jedoch wahrscheinlich nicht übertrieben zu sagen, dass sechzehn Schwachstellen, darunter sechs gespeicherte XSS- und eine SQL-Injection-Schwachstelle, Anlass zur Sorge geben.
WordPress empfiehlt, Websites sofort zu aktualisieren.
Zitate
Offizielle Beschreibung der Schwachstellen, die von WordPress 6.0.3 gepatcht wurden
Version 6.0.3
Lesen Sie die offizielle Veröffentlichungsankündigung
WordPress 6.0.3 ist jetzt verfügbar!
Vorgestelltes Bild von Shutterstock/Pixel-Shot