Sichheitslücke!!! wordpress <= 2.0.5 sql injection exploit

dann brauchen wir jetzt noch einen Php-Cräck, der uns das erklärt:mrgreen:

Zitat von spartakus5

als ich gestern abend in mein adminbereich eingelogt habe, da sah ich dass da 600 gäste online sind. da wusste ich dass da was nicht stimmt. meine seite wurde dann für paar stunden unerreichbar. später gings dann wieder.

Das wird derzeit auch auf der Mailingliste diskutiert; der momentane Tenor ist aber, dass eben nicht die neuste Version betroffen ist. Zumindest konnten es einige Leute noch nicht reproduzieren.

Hattest Du denn schon auf WP 2.0.6 aktualisiert?

Was auf jeden Fall helfen sollte, ist die register_globals zu deaktivieren (ggf. an den Hoster wenden), denn laut Kommentar im Exploit muss diese Option aktiviert sein, damit es funktioniert.

Man kann kann die register_globals für jeden vHost einzeln deaktivieren, indem man in die vHost-Konfiguration die folgende Zeile einfügt (Apache httpd):

php_admin_value register_globals Off

Danach muss natürlich der Apache neu gestartet/geladen werden.

Ich habe es selbst gerade nochmal mit der neusten Version 2.0.6 probiert; weder mit register_globals=On noch mit register_globals=Off funktioniert der Exploit.

Es darf also davon ausgegangen werden, dass 2.0.6 sicher ist und dass vorhergehende Versionen verwundbar sind, zumindest wenn register_globals=On ist.

Zum Hintergrund: Wie funktioniert der Exploit?
In der PHP-Datei wp-trackback.php wird die externe Dateneingabe nicht korrekt gefiltert, so das eine SQL-Injektion möglich ist. Was heißt das?

Wenn ein Zugriff auf die Datenbank stattfindet, so werden alle Eingaben durch Anführungszeichen abgegrenzt. Enthält die Anfrage ein Anführungszeichen zuviel oder zuwenig, so wird der weitere Text als SQL-Befehl interpretiert. Bei der SQL-Injektion wird das gezielt ausgenutzt, indem Anführungszeichen von außen eingegeben werden. Wenn diese vor dem Datenbankzugriff von der jeweiligen Anwendung nicht ausgefiltert oder maskiert werden, so kann man von außen SQL-Befehle in die Datenbank einfügen.

Der der derzeit kursierende Exploit ist relativ harmlos: Er liest nur die Benutzertabelle aus und verrät das gehashte Admin-Passwort. Damit beweist der Autor, dass (und wie) die Lücke ausnutzbar ist, ohne direkten Schaden anzurichten. Doch natürlich lässt sich der Exploit mit ein bissel Knoffhoff und wenig Aufwand so umstricken, dass er in die Datenbank schreibt, nämlich etwa einen neuen Benutzer mit Adminrechten.

Ergo: Updaten, wer es noch nicht getan hat!!!

danke für die Erklärung8-)

Im Exploit steht, dass WordPress <= 2.0.6 betroffen sind. Allerdings konnte es noch niemand mit 2.0.6 reproduzieren.

Aber es wäre in der Tat nett, wenn Du den Titel etwas entschärfen könntest.

Könntest du mir bitte einen Link zu Deiner Seite geben (ggf. per PN)?

Und: Wie hast Du das Update durchgeführt? (Bitte detailiert beschreiben.)

Um ehrlich zu sein, ich kann es nicht genau sagen. Ich habe jedenfalls mal das Exploit-Script gegen Deine Installation laufen lassen und kein Ergebnis bekommen. An Deiner Stelle würde ich aber die Datenbank plattmachen (da ist ja eh noch nicht viel brauchbarer Content drauf) und neu anlegen und dann ein anderes Admin-Passwort als das jetzige wählen. Wenn es dann noch nicht aufhört, müssen wir nochmal schauen.

Zitat von spartakus5

wie kann ich mich denn jetzt davor schüzten ?

mastermind hat doch einen post höher beschrieben, was du mal machen sollst :mrgreen:

Jaja, die nackte Panik... da bleibt keine Zeit zum Lesen. :mrgreen:

spartakus5, was hast Du denn für Plugins installiert? Möglicherweise hat eines von denen eine Sicherheitslücke?

Zitat von mastermind

Jaja, die nackte Panik... da bleibt keine Zeit zum Lesen.

wie kann man auch bei einem eigentlich leeren Blog schon so eine Panik schieben:roll:8-)

Sind diese Benutzer registriert oder sind sie als "Guest" gekennzeichnet?

Zitat von spartakus5

diese benutzer sind als guest online

OMG!!1 Sicherheitslücke!!1!eins!!elf!1!

Nee, im Ernst: Hol mal tief Luft und denk nochmal nach. Wenn die alle als "Guest" drin stehen, dann hat das mit Deiner Datenbank nix zu tun. Das sind ganz normale Besucher Deiner Seite. Kann auch sein, dass das Plugin auf Deinem Host ein wenig verrückt spielt und zu hohe Zahlen anzeigt. Kann auch sein, dass da einige Scripte von Funpic drüberlaufen. Aber solange dort keine echten Benutzer drinstehen, hat das mit den tatsächlich aufgetretenen Lücken in den WP-Versionen vor 2.0.6 nichts zu tun.