Der erste Exploit für WordPress 2.3 Dexter wurde in freier Wildbahn gesichtet. Eine Lücke in der Datei „wp-admin/link.php“ ermöglicht es, die Blogroll nach Belieben zu befüllen. Dieser Fehler existiert offenbar auch in älteren Versionen, wurde mit 2.3 allerdings nicht behoben.

Mehr Details gibt es im WordPress-Forum  und bei BlogSecurity, eine korrigierte link.php ist inzwischen ebenfalls verfügbar. Und wieder einmal lautet meine Empfehlung: updaten! Wer sieht schon gern Spam in seiner Blogroll?

Im niegelnagelneuen WordPress 2.2 wurde eine neue Sicherheitslücke entdeckt: per SQL Injection ist es möglich, die Tabelle wp_users auszulesen, wenn der Angreifer einen gültigen Useraccount für das Blog besitzt. Der Fehler sitzt in der Datei xmlrpc.php.

Nun habe ich ja bereits vor einiger Zeit die Benutzerregistrierung auf meinem Blog deaktiviert, insofern ist nicht damit zu rechnen, dass jemand über einen gültigen Account verfügt. Dennoch macht es Sinn, den verfügbaren Workaround zu nutzen, um das Loch zu stopfen. Da noch kein Patch existiert, muss selbst Hand angelegt werden. Dazu wird die Datei xmlrpc.php (liegt direkt im Hauptverzeichnis Eures Blogs) mit einem Texteditor geöffnet und um die Zeile 541 herum (in der Funktion wp_suggestCategories) der folgende Code-Block gesucht:


$blog_id = (int) $args[0];
$username = $args[1];
$password = $args[2];
$category = $args[3];
$max_results = $args[4];

Die letzte Zeile ändert ihr nun um in

$max_results = (int) $args[4];

Speichern, wieder auf den Server laden und das Problem sollte beseitigt sein.

via Clazh und BloggingTom

Eine weitere Runde im Update-Reigen: WordPress Version 2.1.2 ist erschienen und repariert einige Bugs. Unter anderem ist auch der Fix für die vor ein paar Tagen bekannt gewordene Sicherheitslücke in der Suchfunktion enthalten, ich habe das gerade eben noch fix geprüft. Ein Fixpack von 2.1.1 auf 2.1.2 gibt es hier.

Zudem wurde auch bekannt, dass sich jemand Zugriff auf einen WordPress.org-Server verschafft hat und dort Änderungen am PHP-Code der Version 2.1.1 vorgenommen hat. Wer in den letzten 3-4 Tagen das englische WordPress heruntergeladen und eingerichtet hat, sollte also ganz sicher sofort das Update vornehmen. Das ist eben ein Problem bei einer so weit verbreiteten Blog Software wie WordPress: Die Aussicht, eine große Anzahl installierter Versionen möglicherweise in die eigene Gewalt zu bekommen bzw. manipulieren zu können, weckt Begehrlichkeiten.

Aber auch wenn auf wordpress.de etwas relativiert wird:

Nur um das nochmal klar zu stellen: die DE-Edition 2.1.1 war nicht vom “worst Case” betroffen, wurde nicht verändert und enthält keinen schadhaften Code. Wer die DE-Edition runtergeladen und installiert hat, ist nicht betroffen.

installiert Euch das Update trotzdem. Denn wie eingangs bereits beschrieben enthält es Fixes für Bugs, die nichts mit dem Crack zu tun haben sondern „echte“ Fehler sind.

Ich persönlich finde die schnelle Reaktion der Entwickler Klasse. Und ich installiere lieber ein mal pro Woche ein Sicherheitsfix, als irgendwann mein System komplett neu.

Missi berichtet wieder einmal über Sicherheitsprobleme von WordPress, diesmal handelt es sich um die aktuelle Version 2.11.

Es handelt sich um ein durchaus sehr kritisches Problem, da die Suchfunktion von WordPress die Möglichkeit bietet, per SQL-Injection in der Datenbank herum zu pfuschen.

Idealerweise gibt es bereits eine (inofizielle) Korrektur dieses Fehlers, zu finden ist er hier. Die Änderungen sind in der Datei /wp-includes/query.php vorzunehmen. Wer mit dem diff nicht klar kommt oder sich Änderungen an den Dateien nicht zutraut, bei mir gibt es die bereits modifizierte Datei zum einfachen austauschen auf dem Server. Herunterladen, umbenennen in query.php und in den Ordner /wp-includes/ kopieren. Fertig. Und (vorerst) wieder sicherer…