Schwachstelle in WordPress ermöglicht Aussperren des Admins

Ein Fehler in der Funktion zum Zurücksetzen des Passworts ist die Ursache für das Problem. Damit könnte es passieren, dass in der aktuellen Version 2.8.3 von WordPress und vorherigen Versionen, sich die Administratoren temporär aus dem System auszusperren lassen können. Ein Browser reicht schon dafür.

Durch die Lücke genügt es aber, das PHP-Modul wp-login.php aufzurufen und den Key-Parameter statt mit einem einzelnen Wert mit einem Array zu füllen, um das Kennwort des WordPress-Admins unbefugt zu löschen. Da WordPress aber auf diesem Weg kein neues generiert, kann sich der Admin in der Folge nicht mehr auf dem normalen Weg anmelden.

Um dem ganzen jetzt entgegen zu wirken muss in der wp-login.php die Übergabe von Arrays an die Variable Key blockiert werden. Dazu muss die Zeile

if ( empty( $key ) )

durch

if ( empty( $key ) || is_array( $key ) )

ersetzt werden.

Denkt aber bitte an einer vorherigen Absicherung der Daten!

NACHTRAG 1

In diesem Zusammenhang ist auf jedenfall auch Sergejs Beitrag: “Sicherheit in WordPress: 10 Schritte zum Schutz des Admin-Bereichs” lesenswert.

NACHTRAG 2

Seit wenigen Minuten ist ein Sicherheitsupdate auf die Version 2.8.4 verfügbar.

(via heise)

3 Kommentare

• Niko
  11. August 2009 / 11:39

  Probleme ohne Ende. Die Version 2.8 steht unter keinem guten Stern. Von Beginn an problematisch und die Fehlerbehebungsversionen bringen neue Fehler. Die Verantwortlichen sollten mal 3 Schritte zurückgehen und eine Standfeste Light-Version herausbringen.

  “Diesen Beitrag zitieren”

  
  
• Paul
  11. August 2009 / 18:07

  Wenn man nicht als admin unterwegs ist, ist es nutzlos.

  “Diesen Beitrag zitieren”

  
  
• Chris
  11. August 2009 / 18:31

  @Paul: ? Aber sobald man ein Blog hat, ist man ja auch automatisch Admin.

  “Diesen Beitrag zitieren”

  
  

Jetzt Kommentieren!