Sicherheitslücken in WordPress-Plug-ins betreffen Millionen Websites

Von den Top 50 der beliebtesten Add-ons fand Checkmarx in 18 kritische Lücken. Besonders im E-Commerce-Bereich ist die Gefährdung hoch und betrifft sieben der Top 10. Andere der nicht namentlich bezeichneten Plug-ins greifen auf Facebook oder andere APIs zu.

Das Sicherheitsunternehmen Checkmarx hat kritische Schwachstellen in Plug-ins für die führende Blogging-Plattform WordPress gemeldet. Nach ihren Informationen wurden die Ergänzungen für WordPress mehrere Millionen Mal heruntergeladen – entsprechend viele Websites könnten betroffen sein.

Gefährdet seien vor allem diverse E-Commerce-Add-ons, schreiben die Experten aus Tel Aviv in ihrer 7-seitigen Studie (PDF). Die Fehler lassen es zu, dass Kriminelle fremde WordPress-Server nutzen, um Malware zu verteilen. Insgesamt seien 18 Plug-ins betroffen.

WordPress

Die Programmergänzungen sind alle – wie WordPress selbst auch – quelloffen. Für die Studie hat Checkmarx zweimal die 50 jeweils bestbewerteten Add-ons für das Redaktionssystem überprüft – erst im Januar und dann wieder Anfang Juni. Die 18 als fehlerhaft identifizierten Komponenten wurden zusammen 18,5 Millionen Mal heruntergeladen. Alle waren zwischen den beiden Tests aktualisiert worden, aber die gefundene Lücke nur in sechs Fällen verschwunden.

Bei seinen Tests im Juni kam Checkmarx außerdem zu dem Ergebnis, dass mehr als 20 Prozent der Top 50 anfällig für verbreitete Methoden wie SQL Injection und Cross-Site Scripting sind. Dies gefährdet jede Site, die eines der Programme einsetzt. SQL Injection in Form von präparierten relationalen Abfragen in Suchboxen kann beispielsweise Datenbanken dazu bringen, falsche Informationen abzurufen oder ein Log-in ohne korrekte Anmeldedaten zu ermöglichen. Automatisierungstools machen diese Art Angriff einfach durchzuführen.

Checkmarx hat die betroffenen Erweiterungen nicht beim Namen genannt. Es seien aber auch solche für Anbindung von Facebook und Zugriff auf APIs dabei, heißt es. Im Bereich E-Commerce habe man in sieben der Top-10-Downloads Lücken gefunden, die sich auf bisher 1,7 Millionen Downloads addierten.

Natürlich gebe es bei anderen CMS-Anbietern wahrscheinlich ähnliche Probleme, aber das sei kein Trost: Kriminelle könnten nicht nur persönliche Daten von Benutzern ergaunern, einschließlich medizinischer Daten und Bankverbindungen, auch die betroffene Site lasse sich zum Malware-Multiplikator umfunktionieren, in ein Botnetz aufnehmen oder schlicht entstellen.

[mit Material von Tom Brewster, TechWeekEurope.co.uk]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Checkmarx, Secure-IT, WordPress

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Florian Kalenda
Autor: Florian Kalenda
Leitender Redakteur ZDNet.de
Florian Kalenda
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

4 Kommentare zu Sicherheitslücken in WordPress-Plug-ins betreffen Millionen Websites

Kommentar hinzufügen
  • Am 19. Juni 2013 um 9:10 von Alexander

    Vielen Dank für den Artikel, ich habe eben ein Whitepaper für eCommerce mit WordPress fertiggestellt und war ganz erschrocken. Glücklicherweise gehören die von mir untersuchten Plugins nicht zu den betroffenen, sondern wurden laut Studie innerhalb von 6 Monaten sorgfältig abgesichert. Das WordPress Shop Whitepaper habe ich hier veröffentlicht.
    Noch ein Wort zu Brute Force Angriffen: es gibt tolle Sicherheitsplugins, wie Limit Login Attempts (siehe Repository) o.a., die vor solchen Attacken schützen. Dummerweise habe ich den Setup aber so konfiguriert, dass mir als Admin nach 8 fehlgeschlagenen Logins eine Mail geschickt wird. Was soll ich sagen: ich konnte 2 Tage keine Mails bearbeiten, weil mein Account durch die Flut an Hinweismails praktisch lahmgelegt war. Ich konnte anhand der Anzahl der Mails nur erahnen, wie oft das Skript versucht hat, sich einzuloggen… weit über 10.000 mal mit immer neuen IPs. Also selbst wenn man sich dagegen absichert, sollte man keine email notification einstellen sondern sich lieber im Dashboard die Logfiles ansehen.

  • Am 19. Juni 2013 um 15:27 von Sebastian L.

    Diese Angriffe sind ein ständiges Ärgernis. Auch bei meiner Seite personal-wissen.de wurde es bereits mehrfach versucht. Bisher ist es denen aber nicht gelungen.
    Vielen Dank für den Hinweis mit dem Plugin. Das werde ich auf jeden Fall mal ausprobieren.

  • Am 19. Juni 2013 um 15:34 von Axxl

    Nun ja, wenn die Plugins nicht beim Namen genannt werden, fällt es bei mir in die Rubrik „Allgemeine Hinweise zur Verwendung von Plugins“. Mehr nicht. Behaupten kann man dann vieles.

    • Am 21. Juni 2013 um 8:28 von Niqn

      So sehe ich das auch. Der Artikel ist für den Leser uninteressant, ja gänzlich nutzlos.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *