Gefährlicher WordPress-Exploit veröffentlicht
Ich habe mir den Code des Exploits nicht im Detail zu Gemüte geführt (und werde auch sicher nicht so bald die Zeit finden, das zu tun), aber der gestern auf milw0rm veröffentlichte Code scheint mir doch nicht ganz ungefährlich für WordPress-Blogs zu sein. Ob die aktuelle Version 2.2.3 ebenfalls betroffen ist, kann ich im Augenblick nicht feststellen, zumindest bis 2.2.2 ist die Funktionalität verifiziert.
# Tested with WordPress 2.2, 2.2.2, 2.0.5, 2.0.6, 2.1, (...), PHP/5.2.4 for # Apache 2.0.58 on Gentoo GNU/Linux. magic_quotes on and off for the different # exploits.
Insofern ist diese Veröffentlichung dieses Exploits sicherlich das letzte notwendige Argument, um ein Update auf die aktuelle WordPress-Version durchzuführen. Und ich vermute, die Veröffentlichung erfolgte auch nur, weil die Lücken in WP 2.2.3 inzwischen gestopft wurden. Kann sich das vielleicht mal jemand genauer anschauen?
via BlogSecurity
Popularity: 1% [?]
Ähnliche Beträge:
6 Kommentare bisher »
Trackbacks/Pingbacks
-
[...] wer sein WordPress nicht schnell Updatet bekommt wohl bald von Scriptkiddies besuch. Wie ich bei xsized.de gerade lese, gibt es mal wieder ein böses Codeschnipzel Exploit gegen die WordPress Versionen [...]
Update vollzogen, danke.
Ouh – gut das du es sagst. Ich habe auch direkt geupdatet.
Auch wenn Heise langsam ist – hab die Nachricht gestern gesehen das WP 2.2.3 schon raus ist (seit heute 6 Tagen) und bereits das Update gemacht
Also hier lokal gelang es mir nur bis Version 2.2.2 mit dem Kit was anzufangen. So dass ich mich danach beruhigt erst mal wieder zurückgelehnt habe.
Also die aktuelle Version ist mit dem aktuellen Exploit nicht angreifbar weil alle Löcher welche dieser Exploit benutzt in der Version 2.2.3 geschlossen wurden. Der Exploit beinhaltet auch keine neuen Lücken sondern stellt nur eine Sammlung dar. Wenn jedoch neue Lücken auftauchen sollten und diese in den Exploit einfließen, würde auch 2.2.3 höchstwahrscheinlich angreifbar.
Es scheint sogar möglich zu sein das der Exploit bei früheren Versionen fehlschlägt, obwohl diese Angreifbar sind(so hat ein BlogSec Member einen Testlauf gegen einen 2.2.2 Blog gemacht und es ist nichts weiter passiert), trotzdem sollte man stets die aktuelle Version benutzen.