In den Versionen 2.8.2, 2.8.1, 2.8 und älter (z.B. 2.7.1) von WordPress hat einer unserer Forenbenutzer eine recht kritische Sicherheitslücke entdeckt.
Registrierte Benutzer (der Status “Abonnent” reicht schon), können mit einer leicht geänderten URL diverse Einstellungsseiten, z.B. Plugins, Themes, aufrufen und dort Einstellungen vornehmen, obwohl sie natürlich keine Rechte dafür haben. Bis es einen Bugfix für das Problem gibt, raten wir dringend die Benutzerregistrierung zu deaktivieren und ggf. alle (unbekannten) registrierten Benutzer zu löschen, sofern dies vertretbar ist.
NACHTRAG: Der Fehler wurde in WordPress 2.8.3 behoben.
Samuel
1. August 2009 um 11:54
Betrifft das auch Systeme, die noch nicht auf WP 2.8.2 aktualisiert haben? (im konkreten Fall läuft WP 2.8)
dunkelangst
1. August 2009 um 12:03
Danke für die Warnung!
Ich empfehle dem WordPress Projekt einmal mit Hilfe der ISO 9000 (Grundlagen), ISO 9001 (Anforderungen; also Projekt extern) und vor allem der ISO 9004 (Leitfaden zur Leistungsverbesserung; also Projekt intern) die Einführung eines sehr wirksamen Qualitätsmanagement Systems. So ein schwerwiegender Fehler dürfte nämlich nicht “einfach so” passieren.
jottlieb
1. August 2009 um 12:13
@Samuel:
Siehe Nachtrag, auch ältere Versionen sind betroffen.
ocean90
1. August 2009 um 12:29
Gibts dazu schon ein Ticket?
jottlieb
1. August 2009 um 12:31
@ocean90:
Sowas wird direkt an das security-Team gemeldet, was wir getan haben.
Steven
1. August 2009 um 16:06
Hatte jetzt gerade auch eine komische Anmeldung, die ich nun deswegen direkt wieder gelöscht habe..
Dieter
1. August 2009 um 16:43
Na da habe ich Glück gehabt, denn meine Blogs kennen nur mich als registrierten Benutzer.
Kommentatoren müssen sich bei mir nicht registrieren.
Damit darf ich trotz diese kritische Sicherheitslücke gelassen bleiben.
Thomas Scholz
1. August 2009 um 17:36
Ich habe im Forumsbeitrag einen schnellen Fix bereitgestellt, der nicht gleich das Abschalten der Registrierung erfordert. Funktioniert auch mit alten WordPress-Versionen.
Dieter
1. August 2009 um 21:05
Das ist doch jetzt wirklich mehr als oberpeinlich?
Dartf so etwas bei einem aktuellem Blogsystem, das von soo vielen Usern verwendet wird, überhaupt passieren?
Nein, man hat ja die Möglichkeit spätestens alle 14 Tage upzudaten, irgendwie kann ich nur noch mit dem Kopf schütteln!
Robert
1. August 2009 um 21:18
Kann bitte jemand ganz schnell den Fix von Thomas Scholz aus dem Forum entfernen und aus dem Google-Cache löschen lassen? Damit kann wirklich jedes script kid den Exploit nachbauen.
jottlieb
1. August 2009 um 22:12
@Thomas Scholz:
Dein Fix kann sehr sehr einfach umgangen werden.
Thomas Scholz
2. August 2009 um 00:25
Ich habe schon eine sichere Variante fertig. Jetzt weiß ich nur nicht, ob ich die anbieten, oder mich an euer Konzept der »Security by Obscurity« halten soll.
Ich finde die transparente Methode besser, bin aber gesprächsbereit.
sabre
2. August 2009 um 04:20
hmpf… deswegen hab’ ich die Benutzerregistrierung schon seit Ewigkeiten deaktiviert und trage die wenigen Benutzer, denen ich vertraue, manuell ein.
WordPress hat wirklich ein Problem mit der registrierten Usern, rein vom Gefühl her würde ich sagen, dass mindestens alle viertel Jahre eine große Schwachstelle im Zusammenhang mit registrierten Benutzern auftaucht.
Schlimmstenfalls kann es jetzt so laufen, wie kürzlich beim SMF. Da waren (laut Gerüchten) 60% der Foren gehackt, bis ein offizieller Patch rauskam. Weil die wenigsten die ganze Zeit in den Community-Forum rumhängen.
Markus
2. August 2009 um 11:41
@Dieter zeig mir eine software, egal ob betriebssystem, brennprogramm, mysql, wordpress oder oder oder die fehlerfrei ist.
Olaf
2. August 2009 um 14:32
@Thomas: es wäre unserer Meinung nach besser, wenn Du den Fix zurückhalten würdest bis es eine Reaktion der Entwickler gibt. Leider haben wir bis jetzt immer noch kein Feedback auf diese doch happige Sicherheitslücke bekommen. Wir werden jetzt mal von allen Seiten druck machen und auf eine schnelle Bugfix-Version drängen. In jedem Fall vielen Dank für Dein Engagement und ich hoffe auf das Verständniss der Benutzer die eine Veröffentlichung fordern. Damit wäre das Problem aber sofort sichtbar und würde quasi dazu einladen Schaden anzurichten. Ganz klar gibt es dazu verschiedene, zu respektierende Meinungen, aber wir denken, dass die Entwickler die Möglichkeit bekommen sollten zu reagieren.
Andreas
2. August 2009 um 14:40
Gibt es eine Möglichkeit, alle Anmeldungen registrierter User unterhalb Mitarbeiter temporär zu blocken (bitte für 2.7.1 inkl.) ? Das Löschen von registrierten Usern geht schlecht, wenn über die Jahre ein paar Hundert zusammengekommen sind. Man kann auch nie sicher sein, ob sich da nicht einer zum “Bösewicht” gewandelt hat. Man könnte eine vorübergehendes Blocken mit einem kurzen Info-Artikel verbinden – und wieder aufheben, wenn der Fehler geklärt ist?
Gruß.
Tinte
2. August 2009 um 15:59
Hi,
Ich fahre heute Abend weg in den Urlaub! Ich habe das Registrieren von Benutzern schon von anfang an deaktiviert.
Da ich nun 1 Woche lang nicht da bin und sich niemand um ein Update kümmern kann sollte ich mir da Sorgen machen ?
Oder was kann ich da machen ?
lg
Markus
2. August 2009 um 16:31
@Andreas vorübergehender .htaccess schutz für das wp-admin verzeichniss könnte in deinem fall die lösung sein. bentzernamen und passwort gibst halt dann den jenigen die es brauchen.
applefan
2. August 2009 um 16:52
Wieso muss es immer Schlaumeier geben, die darauf hinweisen wie peinlich ein Fehler ist?
Mensch, habe ich gar nicht gewusst. Dachte bis heute, ein Fehler ist cool und alle freuen sich darüber.
Aber die Rettung ist ja schon da: Man gut dass man 1000ne von Euro für eine ISO-Zertifizierung ausgeben kann. Dann können keine Fehler mehr passieren. Echt klasse so eine Norm. Kaum hat man einen Wisch in der Hand und Zack!, alle Fehler im Programm weg.
MS (und andere) haben so etwas leider auch nicht, oder? Die machen lieber coole Fehler…
Von mir aber liebe Grüße an jottlieb, denn leider kann ich mangels Fachwissen nicht bei der Fehlerbehebung mithelfen.
WordPress ist toll und notorische Nörgler sind doof!
Andreas
2. August 2009 um 17:58
@ Markus: Vielen Dank. Da ich das nicht jeden Tag mache – und weil es ggf. auch Anderen nützlich ist…
• Man muss 2 Datein erzeugen: .htaccess und .htpasswd, die beide in das Admin-Verzeichnis kommen, per FTP
• in der .htaccess steht:
AuthType Basic
AuthName “Passwortschutz”
require valid-user
AuthUserFile /home/wp-admin/.htpasswd
• in der .htpasswd steht:
(s. diverse Generatoren im Web).
• Offene Frage zu Zeile 4 in der .htaccess:
Angabe würde gelten, wenn das WP direkt im Root-Verzeichnis liegt, was zwar nicht optimal ist, aber leider oft historisch bedingt so ist… Ansonsten zusätzlich das Verzeichnis angeben, in dem WP liegt.
Vielen Dank im voraus.
VG
Robert
2. August 2009 um 18:33
@Olaf: Read Trac [11761-11765].
Andreas
2. August 2009 um 18:51
Nachtrag:
Hier ist alles zum (temporären) PW-Schutz
http://bueltge.de/wk-htaccess/116/
Gruß
Martin
2. August 2009 um 19:14
Nur was macht man bei WordPress MU Versionen?
Ich hab sie erstmal komplett aus dem Web genommen … schon ärgerlich.
Markus
2. August 2009 um 22:29
@Andreas danke für deine hilfestellung hier.
Gucky
3. August 2009 um 00:14
Dem kann ich mich nur anschließen !
Kim
3. August 2009 um 13:00
@Gucky:
Im Grunde stimme auch ich euch zu, aber: Ein bissel aufpassen und den Code testen kann auch bei einem so großen Projekt nicht schlecht sein. So gibt es bei der 2.8.2er-Version auch ein Problem beim Editieren von Kommentaren. Da verschwindet nämlich die eingetragene URL zur Homepage des Kommentar-Gebers auf nimmer wiedersehen.
Bugfix hier: http://blog.huebel-online.de/2009/07/30/url-wird-nicht-angezeigt-beim-editieren-von-kommentaren/
Robert
3. August 2009 um 19:12
Langsam gehts wieder in großen Schritten rückwärts. Wie wärs mit zwei Updates pro Jahr, dafür aber solide, funktionierend und ohne Schnick-Schnack. Kann man ja bald als Dienstleistung anbieten: WordPress updaten. Auslastung garantiert.
jottlieb
3. August 2009 um 19:29
@Robert:
Eigentlich ist das ja der Fall. Pro Jahr gibt es zwei bis drei major releases.
Allerdings ist die Welt nicht perfekt und Software per se nicht fehlerfrei. So kommt man eben nicht drum herum, pro major release ein bis zwei bugfixes anzubieten und ggf. noch einen security fix. So kommt man eben auf die “hohe” Anzahl (die nicht so hoch ist wie es einen vorkommt) von neuen Versionen.
Sei lieber froh, dass solche Lücken sofort geschlossen werden, oder würdest du mit so einem Leck ein halbes Jahr bis zur nächsten Version warten wollen?
Tom
4. August 2009 um 08:28
Das Update war mit einem Klick erledigt. OK, Sprachdatei noch extra geladen. Wo liegt das Problem? Lieber so schnell gefixt als monatelang ein unsicheres System.