Eine kürzlich entdeckte Sicherheitslücke mit hohem Schweregrad in einem WordPress-Plug-in setzt etwa 60 Websites dem Risiko einer Website-Übernahme, Datenexfiltration oder Remote-Code-Ausführung aus.
Das ist laut Wordfence Threat Intelligence, einem Forschungsteam, das nach Fehlern in einer der weltweit beliebtesten CMS-Plattformen, WordPress, sucht.
Der Bericht von Wordfence erklärt, dass das Team Mitte April eine Objektinjektions-Schwachstelle im Booking Calendar-Plugin entdeckte, das zum Zeitpunkt der Veröffentlichung über 60 Installationen hatte.
Beliebigen Code ausführen
Das Plugin gibt Webmastern die Möglichkeit, der Website ein Reservierungssystem hinzuzufügen, einschließlich der Möglichkeit, einen flexiblen Kalender zu veröffentlichen, der bestehende Reservierungen und freie Stellen anzeigt.
Die flexible Zeitachse ermöglicht es Webmastern außerdem, Einstellungen und Anzeigeoptionen beim Anzeigen der veröffentlichten Zeitachse festzulegen. Einige dieser Optionen wurden in den serialisierten Daten von PHP übergeben, erklärte Wordfence, und ein Angreifer könnte diese Daten durch verschiedene Methoden kontrollieren.
„Jedes Mal, wenn ein Angreifer Daten kontrollieren kann, die nicht von PHP serialisiert wurden, kann er ein PHP-Objekt mit Eigenschaften seiner Wahl injizieren“, heißt es in der Ankündigung. „Wenn auch ein ‚POP-String‘ vorhanden ist, kann er einem Angreifer erlauben, beliebigen Code auszuführen, Dateien zu löschen oder eine verwundbare Website zu zerstören oder die Kontrolle über sie zu übernehmen.“
Der Silberstreif am Horizont der Entdeckung ist, dass Wordfence keine POP-Strings im Booking-Plugin gefunden hat, was bedeutet, dass Angreifer „ein bisschen Glück“ und zusätzliche Nachforschungen brauchen würden, um den Fehler auszunutzen. Da POP-Strings jedoch häufig in Softwarebibliotheken auftauchen, ist die Bedrohung real.
Wordfence informierte die Entwickler Mitte April über ihre Ergebnisse, und der Fix wurde innerhalb von drei Tagen bereitgestellt. Benutzern wird empfohlen, den Patch auf Version 9.1.1 anzuwenden. des Plug-ins so schnell wie möglich.
Als eine der beliebtesten Website-Hosting-Plattformen der Welt werden WordPress und seine Plugins oft von Angreifern angegriffen, die nach null Tagen suchen, um Malware einzusetzen. Während WordPress selbst allgemein als sicher gilt, sind seine Tausenden von Plugins von Drittanbietern anfällig für einige Schwachstellen.
