Sicherheitslücken in WordPress-Plug-ins betreffen Millionen Websites

Das Sicherheitsunternehmen Checkmarx hat kritische Schwachstellen in Plug-ins für die führende Blogging-Plattform WordPress gemeldet. Nach ihren Informationen wurden die Ergänzungen für WordPress mehrere Millionen Mal heruntergeladen – entsprechend viele Websites könnten betroffen sein.

Gefährdet seien vor allem diverse E-Commerce-Add-ons, schreiben die Experten aus Tel Aviv in ihrer 7-seitigen Studie (PDF). Die Fehler lassen es zu, dass Kriminelle fremde WordPress-Server nutzen, um Malware zu verteilen. Insgesamt seien 18 Plug-ins betroffen.

Die Programmergänzungen sind alle – wie WordPress selbst auch – quelloffen. Für die Studie hat Checkmarx zweimal die 50 jeweils bestbewerteten Add-ons für das Redaktionssystem überprüft – erst im Januar und dann wieder Anfang Juni. Die 18 als fehlerhaft identifizierten Komponenten wurden zusammen 18,5 Millionen Mal heruntergeladen. Alle waren zwischen den beiden Tests aktualisiert worden, aber die gefundene Lücke nur in sechs Fällen verschwunden.

Bei seinen Tests im Juni kam Checkmarx außerdem zu dem Ergebnis, dass mehr als 20 Prozent der Top 50 anfällig für verbreitete Methoden wie SQL Injection und Cross-Site Scripting sind. Dies gefährdet jede Site, die eines der Programme einsetzt. SQL Injection in Form von präparierten relationalen Abfragen in Suchboxen kann beispielsweise Datenbanken dazu bringen, falsche Informationen abzurufen oder ein Log-in ohne korrekte Anmeldedaten zu ermöglichen. Automatisierungstools machen diese Art Angriff einfach durchzuführen.

Checkmarx hat die betroffenen Erweiterungen nicht beim Namen genannt. Es seien aber auch solche für Anbindung von Facebook und Zugriff auf APIs dabei, heißt es. Im Bereich E-Commerce habe man in sieben der Top-10-Downloads Lücken gefunden, die sich auf bisher 1,7 Millionen Downloads addierten.

Natürlich gebe es bei anderen CMS-Anbietern wahrscheinlich ähnliche Probleme, aber das sei kein Trost: Kriminelle könnten nicht nur persönliche Daten von Benutzern ergaunern, einschließlich medizinischer Daten und Bankverbindungen, auch die betroffene Site lasse sich zum Malware-Multiplikator umfunktionieren, in ein Botnetz aufnehmen oder schlicht entstellen.

[mit Material von Tom Brewster, TechWeekEurope.co.uk]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.