Wenige Stunden nach dem Patch versuchen Angreifer, eine Race Condition beim Core-Update auszunutzen. Sie erlaubt Codeausführung ohne Anmeldung.
Zeitfenster von wenigen Sekunden
WordPress 7.1.4: Lücke im Update-Prozess wird angegriffen
Quelle: Primakov / Shutterstock.com
Angreifer versuchen, eine neu geschlossene Sicherheitslücke in WordPress auszunutzen. Das meldet das Sicherheitsunternehmen Defiant, Hersteller des WordPress-Sicherheits-Plugins Wordfence. Die Angriffsversuche begannen demnach wenige Stunden nach der Veröffentlichung der Korrektur. Die als hoch eingestufte Schwachstelle ermöglicht es Angreifern ohne Anmeldung, Code auf betroffenen Websites auszuführen. Eine CVE-Kennung wurde bislang nicht vergeben.
„Die Wordfence-Telemetrie zeigt, dass Angreifer bereits aktiv versuchen, die Schwachstelle auszunutzen.”
Defiant
Zeitfenster von wenigen Sekunden
Laut Defiant handelt es sich um eine Race Condition im Prozess zur Aktualisierung des WordPress-Kerns. Beim Entpacken eines Updates legt WordPress ein Staging-Verzeichnis an, dessen Pfad vorhersehbar und aus dem Web erreichbar ist. Angreifer können dieses kurze Zeitfenster nutzen. Laut Defiant fragen sie die verwundbaren Pfade wiederholt ab, um das nur wenige Sekunden lange Fenster zu treffen.
Mit der Korrektur legt WordPress das Staging-Verzeichnis nun unter einem zufälligen Namen an, ergänzt einen Schutz gegen das Auflisten von Verzeichnisinhalten und verhindert, dass Konfigurationsdaten aus dem Staging-Bereich unsicher übernommen werden.
22 Sicherheitskorrekturen
Geschlossen wurde die Lücke mit WordPress 7.1.4, das am 28. Oktober erschien. Die Korrekturen wurden auf ältere Versionszweige bis zurück zu WordPress 4.7 übertragen. Insgesamt behebt WordPress 7.1.4 22 Sicherheitsmängel, darunter mehrere Cross-Site-Scripting-Lücken und Probleme mit der Interactivity API. Administratoren sollten ihre Websites umgehend auf die jeweils aktuelle Version ihres Versionszweigs aktualisieren. Websites mit aktivierten automatischen Hintergrund-Updates erhalten Sicherheitsversionen in der Regel selbstständig.
WordPress-Websites stehen derzeit verstärkt im Visier. Seit dem 7. Oktober wird eine kritische Lücke im Plugin Bricksforge ausgenutzt, über die sich ohne Anmeldung PHP-Code hochladen und ausführen lässt. Mitte Oktober war zudem das SEO-Plugin Rank Math PRO Ziel eines Angriffs auf die Software-Lieferkette geworden.
(red)
