Warnung! Schwachstelle im WordPress-Plugin bedroht Millionen von Seiten
Es ist wieder die Zeit des Monats, in der eine weitere Schwachstelle in WordPress-Plugins auftaucht, fast wie am Schnürchen. Diesmal betrifft die Schwachstelle das Plugin namens UpdraftPlus, das auf rund 3 Millionen Websites installiert ist, auf denen die Publishing-Plattform läuft.
Privilegierter Zugriff auf Backups
Das Problem wurde vom Sicherheitsforscher Marc Montpas entdeckt und später in einem ausführlichen Beitrag von Wordfence – einem auf WordPress-Sicherheit spezialisierten Team – untersucht. Der Fehler in UpdraftPlus wurde unter dem Handle CVE 2022-0633 kodifiziert und erhielt eine Schweregradbewertung von 8,5 oder Hoch.
Die Schwachstelle ermöglichte es jedem aktiven und erfolgreich angemeldeten Benutzer auf jeder WordPress-Website, auf der UpdraftPlus ausgeführt wird, vorhandene Site-Backups herunterzuladen – etwas, das nur mit erhöhten Rechten möglich sein sollte, wie sie beispielsweise Administratoren besitzen.
Die Möglichkeit, einfach die gesamten Backup-Daten abzurufen, kann später zu allen möglichen Problemen führen, die vom Diebstahl von Anmeldeinformationen bis zum Zugriff auf vertrauliche und privilegierte Informationen reichen.
Wordfence erklärte, dass ein potenzieller Angreifer, wenn er einen speziell zugeschnittenen Heartbeat an die Website senden würde, Zugang zu einem „Backup-Protokoll mit einem Backup-Nonce und einem Zeitstempel“ erhalten würde. Alle drei zusammen können verwendet werden, um das Backup der Website in großen Mengen herunterzuladen.
Beliebte Plugins bieten eine große Angriffsfläche
Die Schwachstelle ist bei weitem nicht so schrecklich, wie es scheint, denn wenn diese Aktion von einem externen Angreifer ausgeführt wird, müsste der Hacker immer noch regelmäßigen Zugriff auf die WordPress-Plattforminstanz für die Website haben. Es würde jedoch ausreichen, einen Satz kompromittierter Anmeldeinformationen zu haben, um dies zu tun. Forscher glauben, dass dies durch die Tatsache ausgeglichen wird, dass UpdraftPlus sehr beliebt ist und auf etwa 3 Millionen Websites installiert ist.
Allein im Januar 2022 wurden mehrere Fehler mit hohem Schweregrad in WordPress-Plugins entdeckt, darunter einer mit einem Schweregrad von 10. Das Problem mit Plugin-Fehlern ist, dass viele der betroffenen Plugins sehr weit verbreitet sind, ähnlich wie UpdraftPlus, was zu einer sehr großen potenziellen Angriffsfläche führt, die potenziellen Bedrohungsakteuren zugänglich ist.