Eine ganze Armada neuer Sicherheitslücken sollte allen WordPress–Usern die Nackenhaare auf­stel­len. Hier gibt’s die genauen Details für die ins­ge­samt sie­ben Exploits von XSS–Problemen bis hin zu SQL-Injects. Derzeit ist kein Patch in Sicht, Frank Bueltge hat die detail­lierte Update–Anleitung.

Die paar Code-Changes sind schnell erle­digt — für bequeme gibt’s aller­dings auch eine neue und hoch­gra­dig unge­wohnte Art, den Patch zu fixen: ein “freund­li­cher Wurm” nutzt exakt die ange­spro­che­nen Exploits, um die not­wen­di­gen Updates durch­zu­füh­ren — er stammt vom Mybeni Blog:

It uses the Security vul­nera­bi­li­ties in the latest WordPress Version (2.2.1) to get into your blog and help you patching the Security flaws! Everything based on Cross-Site Scripting and Cross-Site Request Forgery.

Im WP Bugtracking System sind die Lücken bereits erfasst, schwach finde ich aller­dings, dass am offi­zi­el­len WordPress Blog jeg­li­cher Hinweis auf den neuen Hazard fehlt — ich mein, wie lange kann es denn dau­ern, ein Patch-Paket mit den gerade mal 4 zu ändern­den Dateien zusam­men­zu­stel­len? Da wünscht man sich defi­ni­tiv ein zuver­läs­si­ge­res Online-Update-Service…

Näheres zum Wurm

Auch wenn ich die Idee ori­gi­nell finde, kann ich mit dem freund­li­chen Wurm nicht so rich­tig warm wer­den — bei einer One-Man Show kön­nen leicht Fehler pas­sie­ren, nicht unbe­dingt aus Bösartigkeit, son­dern ganz ein­fach aus Versehen. Die Neugier obsiegte dann natür­lich den­noch, und ich hab das Teil auf eines mei­ner unkri­ti­schen Testblogs los­ge­las­sen; und siehe da, der Updateprozess schien rei­bungs­los zu klap­pen. Komischerweise aber auch beim zwei­ten Mal — ich hätte eigent­lich erwar­tet, dass das Würmchen bereits gepatchte Blogs erkennt. Entweder das, oder der Hack hat ein­fach nicht hin­ge­hauen, aber in dem Fall ver­misse ich die Fehlermeldung. (Können eigent­lich php-Dateien am Server geän­dert wer­den ohne pas­sende Schreibrechte???)

Keine ähnli­chen Beiträge.