Sicherheitsfirma veröffentlicht Zero-Day-Lücken in Facebooks WordPress-Plug-in

Ein US-Sicherheitsanbieter hat Details zu zwei Zero-Day-Lücken in zwei offiziellen WordPress-Plug-ins von Facebook veröffentlicht. Das Unternehmen stellt zudem Beispielcode zur Verfügung, den Cyberkriminelle nutzen könnten, um eigene Exploits zu entwickeln und Angriffe gegen Websites zu starten, die eines der beiden anfälligen Plug-ins einsetzen.

Betroffen sind die WordPress-Plug-ins Messenger Customer Chat und Facebook for WooCommerce. Ersteres integriert ein Messenger-Chat-Fenster in eine WordPress-Seite, letzteres erlaubt es, auf WooCommerce basierende Online-Shops mit Facebook-Seiten zu verknüpfen.

Das Chat-Plug-in wird von mehr als 20.000 Websites genutzt. Das WooCommerce-Plug-in bringt es sogar auf rund 200.000 Installationen, da es seit Mitte April als fester Bestandteil des WooCommerce-Online-Store-Plug-ins für WordPress angeboten wird.

Die Veröffentlichung der beide Anfälligkeiten ist einem Streit zwischen ihrem Entdecker, dem in Denver ansässigen Unternehmen White Fir Design und dem Moderatoren-Team des WordPress-Forums geschuldet, der wohl schon seit Jahren andauert. Auslöser war eine neue Regel des Forums, wonach Sicherheitslücken nicht mehr im Forum veröffentlicht werden dürfen und stattdessen dem WordPress-Team gemeldet werden müssen, welches dann mit den Entwicklern von Plug-ins in Kontakt tritt.

Das Plugin Vulnerability Team von White Fir Design hielt jedoch an der Praxis fest, sicherheitsrelevante Fehler über das Forum zu melden. Das führte schließlich zur Sperrung des Forum-Kontos der Sicherheitsforscher.

Im Frühjahr entschlossen sich die Sicherheitsforscher, den Konflikt zu eskalieren. Statt Nutzer im Forum auf Sicherheitsprobleme hinzuweisen, veröffentlichten Sie Einträge im eigenen Firmenblog mit einer genauen Analyse der Schwachstellen und einem Proof-of-Concept. Davon betroffen waren unter anderem Plug-ins wie Easy WP SMTP, Yuzo Related Posts, Social Warfare und WooCommerce Checkout Manager.

Hacker wiederum entdeckten diese Quelle für sich, um die Fehler in den WordPress-Plug-ins in ihre Malware-Kampagnen einzubeziehen – was zu erfolgreichen Angriffen auch auf namhafte Websites führte.

Die jetzt veröffentlichten Schwachstellen ermöglichen Cross-Site-Request-Forgery-Angriffe auf WordPress-Seiten, die eines der fraglichen Facebook-Plug-ins nutzen. Angemeldete Benutzer sind unter Umständen in der Lage, Optionen von WordPress-Seiten zu ändern und so die vollständige Kontrolle zu übernehmen.

Ihr Vorgehen begründeten die Forscher zudem mit angeblich unklaren Regeln von Facebooks Bug-Bounty-Programm. So soll nicht klar sein, ob Facebook auch Belohnungen für Fehler in WordPress-Plug-ins zahlt. Außerdem sei das Programm nur für Nutzer mit einem Facebook-Konto zugänglich.

Warum sich das US-Unternehmen für eine Eskalation des Streits entschieden hat, ist nicht bekannt. Es wird vermutet, dass White Fir Design auch deswegen so hart reagiert, weil ihm die Möglichkeit genommen wurde, im WordPress-Forum nebenbei für das eigene Sicherheits-Plug-in für WordPress zu werben.

Whitepaper

CAD-Daten optimal verwalten: ECM-Lösungen vereinfachen Planmanagement

Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Gefahren im Foxit PDF-Reader

Check Point warnt vor offener Schwachstelle, die derzeit von Hackern für Phishing ausgenutzt wird.

3 Tagen ago

Bitdefender entdeckt Sicherheitslücken in Überwachungskameras

Video-Babyphones sind ebenfalls betroffen. Cyberkriminelle nehmen vermehrt IoT-Hardware ins Visier.

3 Tagen ago

Top-Malware in Deutschland: CloudEye zurück an der Spitze

Der Downloader hat hierzulande im April einen Anteil von 18,58 Prozent. Im Bereich Ransomware ist…

3 Tagen ago

Podcast: „Die Zero Trust-Architektur ist gekommen, um zu bleiben“

Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…

3 Tagen ago

Google schließt weitere Zero-Day-Lücke in Chrome

Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…

3 Tagen ago

Hacker greifen Zero-Day-Lücke in Windows mit Banking-Trojaner QakBot an

Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…

3 Tagen ago