{"id":194145,"date":"2017-09-18T09:27:10","date_gmt":"2017-09-18T07:27:10","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=194145"},"modified":"2022-04-05T05:22:24","modified_gmt":"2022-04-05T03:22:24","slug":"wordpress-plugins-backdoors-und-sicherheitslcken","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/09\/18\/wordpress-plugins-backdoors-und-sicherheitslcken\/","title":{"rendered":"WordPress-Plugins: Backdoors und Sicherheitsl&uuml;cken"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" alt=\"\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2014\/07\/wp_thumb.jpg\" width=\"64\" align=\"left\" height=\"64\"\/>WordPress ist die letzten Tage mal wieder mit Sicherheitsl\u00fccken in Plugins aufgefallen. Zudem gibt es ein Plug-in, welches eine Backdoor in WordPress einrichtet. Zudem gibt es einige Infos zu End-Point-Firewalls f\u00fcr WordPress und zur Frage, ob sich eine Cyber-Versicherung lohnt.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/8638a4447f84486ba23bf859cf4f128b\" width=\"1\" height=\"1\"\/>Ich bekomme diese Informationen von WordFence zur Verf\u00fcgung gestellt, hatte aber bisher keine Zeit, alles zu thematisieren. Diese Infos sind also nicht tagesaktuell \u2013 k\u00f6nnten aber m\u00f6glicherweise hilfreich sein.<\/p>\n<h2>WooCommerce XSS-Sicherheitsl\u00fccke<\/h2>\n<p>\u00dcber Cross Site Scripting (XSS) Sicherheitsl\u00fccken lassen sich Informationen von einem in einem Browser-Tab laufenden JavaScript aus anderen Tabs abrufen. Fatal ist dies, wenn dort Anmeldedaten an Online-Konten eingegeben werden. <\/p>\n<p>Ende August 2017 wurde eine XSS-Scripting Sicherheitsl\u00fccke im Premium Plugin WooCommerce (bekannt als 'Product Vendors') entdeckt. Dieses Plugin wird von ca. 28 % aller WooCommerce-Shops eingesetzt. Ein Exploit ist inzwischen bekannt. <\/p>\n<p>Betroffen ist das Plugin Product Vendors Version 2.0.35, ab der Version 2.0.36 ist die L\u00fccke behoben. WordFence hat in <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/08\/xss-vulnerability-woocommerce-product-vendors-plugin\/?utm_source=list&amp;utm_medium=email&amp;utm_campaign=083117\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Blog-Beitrag Details<\/a> zur Sicherheitsl\u00fccke und zu den betroffenen Plugin-Versionen ver\u00f6ffentlicht. Das Plugin ist zuletzt im M\u00e4rz 2015 durch eine SQL-Injection-L\u00fccke <a href=\"https:\/\/www.wordfence.com\/blog\/2015\/03\/woocommerce-sql-injection-vulnerability\/\" target=\"_blank\" rel=\"noopener noreferrer\">aufgefallen<\/a>. <\/p>\n<h2>Display Widgets enth\u00e4lt eine Backdoor<\/h2>\n<p>Das WordPress Plugin 'Display Widgets kann \u00fcber 200.000 Installationen verzeichnen. Im Plugin wurde eine Hintert\u00fcr (Backdoor) gefunden, die in Display Widgets Version 2.6.1 (Freigabe 30. Juni 2017) bis zur Version 2.6.3 (Freigabe 2. September 2017) vorhanden war. <\/p>\n<p>In diesem Fall gibt es einige interessante Hintergrundinformationen. So hat das Plugin vor 3 Monaten den Besitzer gewechselt und der neue Autor (mutma\u00dflich ein Brite) hat am 30. Juni Backdoor-Code hinzugef\u00fcgt. Dieser Code erlaubte es diesem, die Authentifizierung zu umgehen und mit dem Plugin Spam auf Websites zu ver\u00f6ffentlichen. Der Spam wurde vor dem Admin der Seite und jedem angemeldeten Benutzer versteckt. <\/p>\n<p>Die WordPress-Maintainer f\u00fcr Plugins haben dieses Plugin in der Vergangenheit bereits mehrfach wegen 'Ungereimtheiten' entfernt. Konkret: In den letzten 3 Monaten wurde das Plugin entfernt und viermal in das WordPress Plugin Repository zur\u00fcckgegeben. W\u00e4hrend dieser Zeit hatte das Plugin diese Hintert\u00fcr, die niemand bemerkte. Der neue Plugin-Besitzer nutzte diese Hintert\u00fcr immer wieder, um Spam auf betroffenen Websites zu ver\u00f6ffentlichen. <\/p>\n<p>Das Team von WordFence dokumentiert in <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/09\/display-widgets-malware\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Blog-Beitrag<\/a> ausf\u00fchrlich diese Geschichte. Wer sich hinter dem Spam-Angriff verbirgt und wie das Plugin vom Ursprungsautor \u00fcbernommen wurde, hat das WordFence-Team <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/09\/man-behind-plugin-spam-mason-soiza\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier dokumentiert<\/a>. Ein weiterer Blog-Beitrag findet sich <a href=\"https:\/\/web.archive.org\/web\/20210720124659\/https:\/\/www.bleepingcomputer.com\/news\/security\/backdoor-found-in-wordpress-plugin-with-more-than-200-000-installations\/\" target=\"_blank\" rel=\"noopener noreferrer\">bei Bleeping-Computer<\/a>. <\/p>\n<h2>Weiteres: Cyber-Versicherung und End-Point-Firewall<\/h2>\n<p>K\u00fcrzlich habe ich <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/07\/hackers-find-wordpress-within-30-mins\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier die Information<\/a> gefunden, dass Hacker eine frisch eingerichtete WordPress-Site binnen 30 Minuten finden k\u00f6nnen. Ein Sicherheitsmonitoring einer Site ist beispielsweise \u00fcber <a href=\"https:\/\/web.archive.org\/web\/20181230062029\/https:\/\/www.gravityscan.com\/\" target=\"_blank\" rel=\"noopener noreferrer\">gravityscan.com<\/a> (vom WordFence-Team) m\u00f6glich. Dort kann man (neben VirusTotal) auch pr\u00fcfen lassen, ob eine Site gehackt ist. Um sich aber vor diversen \u00dcberraschungen in WordPress zu sch\u00fctzen, bietet sich (neben einem Online-Virenscanner) die Installation einer Firewall an. Dabei gibt es zwei M\u00f6glichkeiten:<\/p>\n<ul>\n<li>Eine Cloud-Firewall wie sie der von GoDaddy angebotene Sicherheitsdienstleister Sucuri oder Cloudflare anbieten.  <\/li>\n<li>Eine End-Point-Firewall, die im Blog mitl\u00e4uft. So etwas wird von WordFence angeboten.<\/li>\n<\/ul>\n<p>Die Leute von WordFence gehen in <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/08\/cloud-firewall-vs-endpoint-firewall\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Blog-Beitrag<\/a> auf die Frage ein, warum eine End-Point-Firewall sinnvoller sein d\u00fcrfte. Ich selbst setze deren Plugin ein \u2013 welches z.B. Angriffe auf WordPress-Konten blockt und auch WordPress-Plugins auf anstehende Aktualisierungen \u00fcberwacht, aber auch einige Fehlalarme ausl\u00f6st. Wer sich f\u00fcr Details zu Firewall-Regeln, die WordFence verwendet (kann man aber nicht selbst einstellen), interessiert, findet in <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/08\/wordfence-firewall-rules\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem WordFence-Blog-Beitrag<\/a> einige Informationen. Eine \u00dcbersicht \u00fcber die h\u00e4ufigsten WordPress-Angriffe im August findet sich <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/09\/august-2017-wordpress-attack-report\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a>.<\/p>\n<p>WordFence bietet auch ein Audit einer WordPress-Site zum Pauschalpreis an (Details finden sich <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/05\/wordpress-security-audit\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a>). Seit der Zunahme von Angriffen auf Unternehmen werden auch immer wieder Cyber-Versicherungen ins Spiel gebracht. Die Leute von WordFence gehen in <a href=\"https:\/\/www.wordfence.com\/blog\/2017\/09\/cyberinsurance\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Blog-Beitrag<\/a> auf die Fallen solcher Versicherungen ein und analysieren, wo so etwas sinnvoll sein kann.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>WordPress ist die letzten Tage mal wieder mit Sicherheitsl\u00fccken in Plugins aufgefallen. Zudem gibt es ein Plug-in, welches eine Backdoor in WordPress einrichtet. Zudem gibt es einige Infos zu End-Point-Firewalls f\u00fcr WordPress und zur Frage, ob sich eine Cyber-Versicherung lohnt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,1574],"tags":[3347,4247,4349],"class_list":["post-194145","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-wordpress","tag-backdoor","tag-sicherheitsluecken","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/194145","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=194145"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/194145\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=194145"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=194145"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=194145"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}