Sicherheitsfirma veröffentlicht Zero-Day-Lücken in Facebooks WordPress-Plug-in

Ein US-Sicherheitsanbieter hat Details zu zwei Zero-Day-Lücken in zwei offiziellen WordPress-Plug-ins von Facebook veröffentlicht. Das Unternehmen stellt zudem Beispielcode zur Verfügung, den Cyberkriminelle nutzen könnten, um eigene Exploits zu entwickeln und Angriffe gegen Websites zu starten, die eines der beiden anfälligen Plug-ins einsetzen.

Betroffen sind die WordPress-Plug-ins Messenger Customer Chat und Facebook for WooCommerce. Ersteres integriert ein Messenger-Chat-Fenster in eine WordPress-Seite, letzteres erlaubt es, auf WooCommerce basierende Online-Shops mit Facebook-Seiten zu verknüpfen.

Das Chat-Plug-in wird von mehr als 20.000 Websites genutzt. Das WooCommerce-Plug-in bringt es sogar auf rund 200.000 Installationen, da es seit Mitte April als fester Bestandteil des WooCommerce-Online-Store-Plug-ins für WordPress angeboten wird.

Die Veröffentlichung der beide Anfälligkeiten ist einem Streit zwischen ihrem Entdecker, dem in Denver ansässigen Unternehmen White Fir Design und dem Moderatoren-Team des WordPress-Forums geschuldet, der wohl schon seit Jahren andauert. Auslöser war eine neue Regel des Forums, wonach Sicherheitslücken nicht mehr im Forum veröffentlicht werden dürfen und stattdessen dem WordPress-Team gemeldet werden müssen, welches dann mit den Entwicklern von Plug-ins in Kontakt tritt.

Das Plugin Vulnerability Team von White Fir Design hielt jedoch an der Praxis fest, sicherheitsrelevante Fehler über das Forum zu melden. Das führte schließlich zur Sperrung des Forum-Kontos der Sicherheitsforscher.

Im Frühjahr entschlossen sich die Sicherheitsforscher, den Konflikt zu eskalieren. Statt Nutzer im Forum auf Sicherheitsprobleme hinzuweisen, veröffentlichten Sie Einträge im eigenen Firmenblog mit einer genauen Analyse der Schwachstellen und einem Proof-of-Concept. Davon betroffen waren unter anderem Plug-ins wie Easy WP SMTP, Yuzo Related Posts, Social Warfare und WooCommerce Checkout Manager.

Hacker wiederum entdeckten diese Quelle für sich, um die Fehler in den WordPress-Plug-ins in ihre Malware-Kampagnen einzubeziehen – was zu erfolgreichen Angriffen auch auf namhafte Websites führte.

Die jetzt veröffentlichten Schwachstellen ermöglichen Cross-Site-Request-Forgery-Angriffe auf WordPress-Seiten, die eines der fraglichen Facebook-Plug-ins nutzen. Angemeldete Benutzer sind unter Umständen in der Lage, Optionen von WordPress-Seiten zu ändern und so die vollständige Kontrolle zu übernehmen.

Ihr Vorgehen begründeten die Forscher zudem mit angeblich unklaren Regeln von Facebooks Bug-Bounty-Programm. So soll nicht klar sein, ob Facebook auch Belohnungen für Fehler in WordPress-Plug-ins zahlt. Außerdem sei das Programm nur für Nutzer mit einem Facebook-Konto zugänglich.

Warum sich das US-Unternehmen für eine Eskalation des Streits entschieden hat, ist nicht bekannt. Es wird vermutet, dass White Fir Design auch deswegen so hart reagiert, weil ihm die Möglichkeit genommen wurde, im WordPress-Forum nebenbei für das eigene Sicherheits-Plug-in für WordPress zu werben.

Whitepaper

CAD-Daten optimal verwalten: ECM-Lösungen vereinfachen Planmanagement

Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Nolte Küchen setzt auf Cloud-basierte Lösung für Geschäftsautomatisierung von IBM

In einem gemeinsamen Projekt von IBM und X-INTEGRATE optimiert der Küchenhersteler Bestellablauf und Kundenservice mit Public Cloud und On-Premise-Lösungen von…

19 Stunden ago

Microsoft verschiebt Windows-10-X-Geräte angeblich auf 2021

Die Änderung gilt für das Surface Neo und wohl auch für Geräte anderer Hersteller. Das Android-Gerät Surface Duo soll es…

24 Stunden ago

Bericht: Google macht mit Android 11 nahtlose OS-Updates verpflichtend

Darauf weist eine Änderung der Vendor Test Suite hin. Sie schreibt offenbar die benötigte A/B Partition ab API-Level 30 vor.…

1 Tag ago

Microsoft erweitertet Exchange Online um DANE- und DNSSEC-Support

Beide Protokolle sollen den E-Mail-Verkehr sicherer machen. Sie verhindern unter anderem ein Downgrade auf unverschlüsselte SMTP-Verbindungen. Microsoft führt DANE und…

1 Tag ago

Kursverfall: Investor verklagt Zoom wegen Sicherheitsmängeln

Das Start-up soll die Wahrheit über die Sicherheit seiner Plattform verschleiert haben. In den vergangenen Wochen fällt der Kurs der…

1 Tag ago

Chrome 81 unterstützt Web NFC Standard

Der Browser liest und schreibt NFC-Tags. Chrome 81 blockiert zudem das Laden unverschlüsselter Inhalte bei bestehender HTTPS-Verbindung. Außerdem verlängert auch…

2 Tagen ago