Seit dem Inkrafttreten der europäischen Datenschutz-Grundverordnung (DSGVO) nutzen viele Internetseiten und Blogs auf Basis des CMS WordPress die WordPress-Erweiterung WP GDPR Compliance des Entwicklers Van Ons, Die soll es denWordPress-Betreibern erleichtern, die Anforderungen der Datenschutz-Grundverordnung (DSGVO) korrekt umzusetzen. Das Plugin ist offenbar recht beliebt, denn das offizielle Plugin-Verzeichnis von WordPress zählt aktuell schon über 100.000 aktive Installationen und sogar mehr als eine halbe Million Downloads.
Gerade wurde bekannt, dass eine Lücke in diesem Plugin Angreifern erlaubt, die volle Kontrolle über die WordPress-Installation und sogar den gesamten Server zu übernehmen. Die Sicherheitsfirma Wordfence meldet dazu, dass bis einschließlich Version 1.4.2 des Plugins auch Außenstehende beliebige Einstellungen in der WordPress-Installation tätigen können.
Bei einer Attacke könnte ein Angreifer über die Sicherheitslücke erst einmal wenn nötig die Nutzerregistrierung einschalten, dann auf regulärem Weg einen neuen Account anlegen und diesen letztlich zum Admin hochstufen. Mit dessen Rechten könnte der Angreifer letztlich auch den gesamten Server übernehmen, beispielsweise, indem er eine verseuchte Erweiterung installiert, die eine Webshell enthält.
Die Schwachstelle wird schon aktiv ausgenutzt
Nach Angaben von Wordfence wird die Schwachstelle schon aktiv von Online-Gaunern missbraucht. In mehreren Fällen hat das Unternehmen festgestellt, dass bei den kompromittierten Installationen ein Nutzer namens „t2trollherten“ angelegt war, außerdem haben Angreifer in diesen Szenarien auch Webshells mit dem unverdächtigen Namen „wp-cache.php“ hinterlassen.
Version 1.4.3 sichert das Plugin ab
Seit vorgestern steht die abgesicherte Version 1.4.3 des Plugins zum Download bereit. Wer WP GDPR Compliance auf seiner WordPress-Site einsetzt, sollte unbedingt auf diese gehärtete Version updaten, denn WordPress-Installationen sind schon immer ein beliebtes Ziel bei Online-Angreifern.
Hinterlasse einen Kommentar