![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
Noch eine kurze Meldung aus dem Bereich Sicherheit. Eine Zero-Day-Schwachstelle in einem jQuery File Upload-Plugin war Cyber-Kriminellen bekannt und wird seit mindestens 3 Jahren ausgenutzt. Es gibt zwar einen Fix, aber offenbar sind noch viele veraltete Fassungen (Forks) des Plugins im Einsatz.<\/p>\n
<\/p>\n
Das Plugin ist das zweith\u00e4ufigste benutzte jQuery-Projekt auf GitHub, am h\u00e4ufigsten wird das jQuery-Framework abgerufen. Das jQuery File Upload Plugin wurde \u00fcber 7.800 Mal als Fork angelegt und dann in m\u00f6glicherweise Tausenden anderer Projekte integriert. Das Plugin findet sich in CMS, CRM, Intranetl\u00f6sungen, WordPress-Plugins, Drupal-Add-ons, Joomla-Komponenten und so weiter.<\/p>\n Eine Schwachstelle in einem solchen Plugin ist verheerend, da sie Sicherheitsl\u00fccken in vielen Plattformen aufrei\u00dft. Und genau dieses Worst-Case-Szenario ist passiert. Anfang 2018 hat Larry Cashdollar, ein Sicherheitsforscher f\u00fcr Akamais SIRT (Security Intelligence Response Team), eine Schwachstelle im Quellcode des Plugins entdeckt, die Datei-Uploads auf PHP-Server verarbeitet. <\/p>\n Diese Schwachstelle erm\u00f6glicht Angreifern b\u00f6sartige Dateien (f\u00fcr Backdoors und Shells) auf Server hochzuladen. Gegen\u00fcber ZDNet sagte Larry Cashdollar, dass die Schwachstelle in the wild seit 2016 ausgenutzt werde. Die Schwachstelle scheint eine der am schlechtesten geh\u00fcteten Geheimnisse der Hackerszene gewesen zu und bereits vor 2016 aktiv genutzt worden zu sein.<\/p>\n Alle jQuery File Upload-Versionen vor 9.22.1 sind anf\u00e4llig. Da die Schwachstelle auf spezifischem PHP-Code f\u00fcr den Datei-Upload basiert, sollten andere serverseitige Implementierungen als sicher angesehen werden.<\/p>\n Nachdem Cashdollar den Zero-Day-Bug Anfang des Monats an Blueimp meldete, untersuchte dieser die Schwachstelle. Der Entwicklers identifizierte die Ursache der Schwachstelle nicht im Code des Plugins, sondern in einer \u00c4nderung im Apache Web Server Projekt aus dem Jahr 2010. Am 23. November 2010, nur f\u00fcnf Tage bevor Blueimp die erste Version seines Plugins auf den Markt brachte, hat die Apache Foundation die Version 2.3.9 des Apache HTTPD-Servers ver\u00f6ffentlicht. Dieses Release wirkte sich indirekt auf das erwartete Verhalten des Plugins auf Apache Servern aus.<\/p>\n Ab dieser Version unterst\u00fctzte der Apache HTTPD-Server eine Option, die es dem Serverbesitzer erm\u00f6glicht, benutzerdefinierte Sicherheitseinstellungen f\u00fcr einzelne Ordnern \u00fcber .htaccess-Dateien zu ignorieren. Diese Einstellung wurde aus Sicherheitsgr\u00fcnden vorgenommen, war standardm\u00e4\u00dfig aktiviert und blieb es auch f\u00fcr alle nachfolgenden Versionen des Apache HTTPD-Servers.<\/p>\n Das jQuery File Upload-Plugin setzte aber voraus, dass eine benutzerdefinierte .htaccess-Datei existiert, um Sicherheitseinschr\u00e4nkungen f\u00fcr seinen Upload-Ordner festzulegen. Und genau das war vom Apache HTTPD-Team f\u00fcnf Tage zuvor ge\u00e4ndert worden \u2013 das grundlegende Design des Plugins war damit sicherheitstechnisch wertlos. Inzwischen hat Blueimp sein Pluging \u00fcberarbeitet, aber viele Forks nutzen noch den alten Code. Laut Sicherheitsforscher sind so gut wie alle Forks angreifbar. Cashdollar hat das Ganze in diesem Akamai-Blog-Beitrag<\/a> dokumentiert \u2013 weitere Details lassen sich bei ZDNet<\/a> nachlesen.<\/p>\n","protected":false},"excerpt":{"rendered":" Noch eine kurze Meldung aus dem Bereich Sicherheit. Eine Zero-Day-Schwachstelle in einem jQuery File Upload-Plugin war Cyber-Kriminellen bekannt und wird seit mindestens 3 Jahren ausgenutzt. Es gibt zwar einen Fix, aber offenbar sind noch viele veraltete Fassungen (Forks) des Plugins … Weiterlesen Die Information findet sich in diesem ZDNet.com-Beitrag<\/a>, der auf die Problematik hinweist. Die Schwachstelle betrifft das jQuery File Upload Plugin, das von dem deutschen Entwickler Sebastian Tschan (Blueimp) geschrieben wurde.<\/p>\n
jQuery File Upload Plugin-Schwachstelle<\/h2>\n
Ursache f\u00fcr CVE-2018-9206 in Apache<\/h2>\n