Ein US-Sicherheitsanbieter hat Details zu zwei Zero-Day-Lücken in zwei offiziellen WordPress-Plug-ins von Facebook veröffentlicht. Das Unternehmen stellt zudem Beispielcode zur Verfügung, den Cyberkriminelle nutzen könnten, um eigene Exploits zu entwickeln und Angriffe gegen Websites zu starten, die eines der beiden anfälligen Plug-ins einsetzen.
Das Chat-Plug-in wird von mehr als 20.000 Websites genutzt. Das WooCommerce-Plug-in bringt es sogar auf rund 200.000 Installationen, da es seit Mitte April als fester Bestandteil des WooCommerce-Online-Store-Plug-ins für WordPress angeboten wird.
Die Veröffentlichung der beide Anfälligkeiten ist einem Streit zwischen ihrem Entdecker, dem in Denver ansässigen Unternehmen White Fir Design und dem Moderatoren-Team des WordPress-Forums geschuldet, der wohl schon seit Jahren andauert. Auslöser war eine neue Regel des Forums, wonach Sicherheitslücken nicht mehr im Forum veröffentlicht werden dürfen und stattdessen dem WordPress-Team gemeldet werden müssen, welches dann mit den Entwicklern von Plug-ins in Kontakt tritt.
Das Plugin Vulnerability Team von White Fir Design hielt jedoch an der Praxis fest, sicherheitsrelevante Fehler über das Forum zu melden. Das führte schließlich zur Sperrung des Forum-Kontos der Sicherheitsforscher.
Im Frühjahr entschlossen sich die Sicherheitsforscher, den Konflikt zu eskalieren. Statt Nutzer im Forum auf Sicherheitsprobleme hinzuweisen, veröffentlichten Sie Einträge im eigenen Firmenblog mit einer genauen Analyse der Schwachstellen und einem Proof-of-Concept. Davon betroffen waren unter anderem Plug-ins wie Easy WP SMTP, Yuzo Related Posts, Social Warfare und WooCommerce Checkout Manager.
Hacker wiederum entdeckten diese Quelle für sich, um die Fehler in den WordPress-Plug-ins in ihre Malware-Kampagnen einzubeziehen – was zu erfolgreichen Angriffen auch auf namhafte Websites führte.
Die jetzt veröffentlichten Schwachstellen ermöglichen Cross-Site-Request-Forgery-Angriffe auf WordPress-Seiten, die eines der fraglichen Facebook-Plug-ins nutzen. Angemeldete Benutzer sind unter Umständen in der Lage, Optionen von WordPress-Seiten zu ändern und so die vollständige Kontrolle zu übernehmen.
Ihr Vorgehen begründeten die Forscher zudem mit angeblich unklaren Regeln von Facebooks Bug-Bounty-Programm. So soll nicht klar sein, ob Facebook auch Belohnungen für Fehler in WordPress-Plug-ins zahlt. Außerdem sei das Programm nur für Nutzer mit einem Facebook-Konto zugänglich.
Warum sich das US-Unternehmen für eine Eskalation des Streits entschieden hat, ist nicht bekannt. Es wird vermutet, dass White Fir Design auch deswegen so hart reagiert, weil ihm die Möglichkeit genommen wurde, im WordPress-Forum nebenbei für das eigene Sicherheits-Plug-in für WordPress zu werben.
Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.
Weitere schwerwiegende Fehler stecken in Android 12 und 13. Insgesamt bringt der Mai-Patchday 29 Fixes.
IT-Sicherheit - Erkennen und Abwehren von digitalen Angriffen
Das iPhone 15 Pro Max ist das meistverkaufte Smartphone im ersten Quartal. Das Galaxy S24…
Die Passwort-Alternative Passkeys überholt Einmalpasswörter bei der Zwei-Faktor-Authentifizierung. Auch Microsoft setzt sich aktiv für die…
Der Anteil steigt seit 2020 um 34 Prozentpunkte. Allein 2023 erfasst Kaspersky rund 10 Millionen…
Salesforce forciert den Ausbau seiner Industry Clouds. Mit ihrem Prozesswissen könnten deutsche IT-Dienstleister davon profitieren.
