Neue Sicherheitslücke!

es handelt sich um ein problem mit cookies. jemand kann so die komplette kontrolle über den webspace von einem Blog bekommen wenn er dieses Script ausführt.

Also an alle befolgt was in dem Link steht (von olafson)

Zitat

Der Fix ist relativ einfach: Direkt nach dem <?php in der Datei /index.php im Rootverzeichnis, nicht im Theme!, - also vor jedem anderen PHP Befehl - die Zeile

unset($wp_filter);

einsetzen.

und stellt euch darauf ein bald wieder wordpress zu updaten :D

Zitat: FH
Mit diesem Exploit kann man jedes beliebige PHP Kommando ausführen, ausserdem jedes Shellkommando mit den Rechten des Webservers, sofern system() zugelassen ist, was jedoch üblicherweise der Fall ist.

... d.h. man kann alles machen, was du auch kannst.

danke für den link. habs auch eben mal gefixt.

Ein Update auf die aktuelle Version 1.5.2 schließt ebenso die Lücke. Also bitte alle Updaten (Praxistest für Olafs Versions Plugin :D)

Ich will nur noch mal nachfragen, ob ich das richtig verstanden und gemacht habe.

Laut

<?php phpinfo(); ?>

ist mein register_globals auf on gestellt.
Ich erweitere also die index.php in der root von

<?php 
/* Short and sweet */
define('WP_USE_THEMES', true);
require('./wp-blog-header.php');
?>

auf

<?php 
/* Short and sweet */
define('WP_USE_THEMES', true);
require('./wp-blog-header.php');
?>
unset($wp_filter);

Und jetzt kann nichts mehr passieren, oder?

nein, auf

<?php 
unset($wp_filter);
/* Short and sweet */
define('WP_USE_THEMES', true);
require('./wp-blog-header.php');
?>

Olaf, unser Admin, ist zur Zeit in Urlaub und ich hab gestern abend Format C: gemacht und den Zettel mit den Passwörtern hab' ich verlegt... ;)

Es wird also noch ein paar Tage dauern.
Aber verlinken tut es ja sowieso auf die richtige Seite, das sollte also nicht allzu schlimm sein... :)

Christian

Auf Heise.de kam heute wieder eine Meldung die wieder mit der xml-rpc funktion eval() zu tun hat, ist diese Lücke überhaupt für wordpress nach dem update auf 1.5.2 noch von bedeutung, da sie ja eine andere ist, als die, die anfang juni bekannt wurde?

http://www.heise.de/security/news/meldung/62827

hat sich erledigt :oops:

viele grüße

maxter

Zitat von jottlieb

Ein weiterer Workaround wäre, in der .htaccess

Code

php_flag register_globals off

einzutragen.

statt dem workaround kann man auch einfach updaten :D