{"id":260830,"date":"2021-12-22T17:29:05","date_gmt":"2021-12-22T16:29:05","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=260830"},"modified":"2021-12-23T02:24:48","modified_gmt":"2021-12-23T01:24:48","slug":"wordpress-800-000-webseiten-durch-all-in-one-seo-plugin-kompromittierbar","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/12\/22\/wordpress-800-000-webseiten-durch-all-in-one-seo-plugin-kompromittierbar\/","title":{"rendered":"WordPress: 800.000 Webseiten durch All in One SEO-Plugin kompromittierbar"},"content":{"rendered":"

\"\"[English<\/a>]Das popul\u00e4re WordPress Plugin All in One SEO weist gleich zwei Schwachstellen (CVE-2021-25036 und CVE-2021-25037) auf, \u00fcber die entsprechende Installationen angreifbar sind. Da das Plugin recht popul\u00e4r ist, sollte man sofort schauen, dass man eine aktualisierte Fassung erh\u00e4lt. Sonst wird die WordPress-Instanz fr\u00fcher oder sp\u00e4ter gehackt.<\/p>\n

<\/p>\n

\"\"All in One SEO<\/a> ist ein WordPress SEO-Plugin, welches 2007 eingef\u00fchrt wurde. Die Idee hinter dem SEO-Zeugs ist, WordPress \"richtig einzurichten\", damit die Webseiten besser in Suchmaschinen ranken k\u00f6nnen. F\u00fcr jeden guten WordPress-Nutzer geh\u00f6rt daher irgend ein SEO-Plugin dazu.<\/p>\n

Im Sinne von \"guter WordPress-Nutzer\" ist bei mir da eher Hopfen und Malz verloren. Ich meide diese Art Plugins wie der Teufel das Weihwasser. Warum? Gibt zwei Gr\u00fcnde: Wenn eine Webseite beschissenen Content hat, n\u00fctzt ein SEO-Plugin auch wenig – ist der Content dagegen gut und m\u00f6glicherweise einzigartig, wird die Seite auch von Suchmaschinen gefunden – sehe ich an meinen Blog-Beitr\u00e4gen. Zum Zweiten sind mit SEO-Plugins in der Vergangenheit immer mal wieder durch Schwachstellen und Fehlfunktionen aufgefallen. Daher fahre ich in meinem Blog den Ansatz, m\u00f6glichst sparsam mit WordPress Plugins zu sein.<\/p><\/blockquote>\n

Nun bin ich bei den Kollegen von Bleeping Computer darauf gesto\u00dfen<\/a>, dass das WordPress-Plugin All in One SEO in \u00e4lteren Versionen zwei kritische Sicherheitsl\u00fccken aufweist.\u00a0 Automattic-Sicherheitsforscher Marc Montpas hat die Schwachstellen entdeckt und dann gemeldet. Bei den Sicherheitsl\u00fccken handelt es sich um einen kritischen Fehler bei der Authenticated Privilege Escalation (CVE-2021-25036) und eine schwerwiegende Authenticated SQL Injection-Schwachstelle (CVE-2021-25037).<\/p>\n

Was diese Schwachstellen so gef\u00e4hrlich macht, ist die Tatsache, dass Bedrohungsakteure zwar authentifiziert sein m\u00fcssen, um die beiden Schwachstellen erfolgreich auszunutzen. Ein Angreifer ben\u00f6tigt aber nur niedrige Berechtigungen als WordPress Benutzerrolle wie \"Subscriber\" (Abonnent), um einen Angriff zu versuchen. Es reicht also, wenn sie Besucher einer WordPress-Seite als Leser registrieren und dann anmelden k\u00f6nnen, um ggf. ver\u00f6ffentlichte Artikel zu kommentieren (so etwas lasse ich aus Sicherheitsgr\u00fcnden in meinen Blogs nicht zu).<\/p>\n

\u00dcber die Sicherheitsl\u00fccke CVE-2021-25036 lassen sich die Privilegien zu erh\u00f6hen, um eine Remotecode-Ausf\u00fchrung auf anf\u00e4lligen Websites zu erm\u00f6glichen. Damit lassen sich diese wahrscheinlich vollst\u00e4ndig \u00fcbernehmen. Die Entwickler haben vor 14 Tagen die Version 4.1.5.3 des Plugins mit einem Sicherheitsfix freigegeben. Die Schwachstellen sind also inzwischen behoben – WordPress-Betreiber, die auf das Plugin setzen, m\u00fcssen aber sicherstellen, dass diese Version installiert ist. Es sind wohl um die 800.000 Nutzer, die noch nicht aktualisiert haben.<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Das popul\u00e4re WordPress Plugin All in One SEO weist gleich zwei Schwachstellen (CVE-2021-25036 und CVE-2021-25037) auf, \u00fcber die entsprechende Installationen angreifbar sind. Da das Plugin recht popul\u00e4r ist, sollte man sofort schauen, dass man eine aktualisierte Fassung erh\u00e4lt. Sonst wird … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,1574],"tags":[4328,4349],"class_list":["post-260830","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-wordpress","tag-sicherheit","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/260830","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=260830"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/260830\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=260830"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=260830"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=260830"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}