WordPress 2.8.3: Admin password reset exploit – schwere Sicherheitslücke

11. August 2009 Kategorie: Internet, WordPress, geschrieben von: caschy

Gerade eben von meinem langjährigen Netzkollegen Alexander auf eine Sicherheitslücke in WordPress 2.8.3 aufmerksam gemacht worden. So ist es jedem möglich, dass Passwort des Administrators zurück zu setzen. Zwar kann man die Lücke nicht ausnutzen sofern man nicht auf das Mailkonto des Admins Zugriff hat, doch dieser kann sich auch erst einmal nicht einloggen, ohne vorher sein neues Passwort per Mail abzufragen. Um dies bis zur nächsten Version zu beheben, öffnet eure wp-login.php und ändert in Zeile 190 den Text von if ( empty( $key ) ) in if ( empty( $key ) || is_array( $key ) ).

Betroffen sind scheinbar nur die Versionen 2.8.x. Ich weiss wie der Exploit ausgeführt wird und habe ihn erfolgreich an zwei Blogs ausprobieren können. Allerdings werde ich den Aufruf hier logischerweise nicht veröffentlichen. Den ganzen Ärger kann man sich auch sparen, sofern man seinen Daten zusätzlich per .htaccess absichert.

Nachtrag: bitte eventuell auch diesen Kommentar beachten. Ausserdem findet ihr hier den technischen Hintergrund.

Wenn du hier neu bist, dann abonniere am besten den RSS-Feed um auf dem Laufenden zu bleiben. Über 25.000 Abonnenten können nicht irren :)

Über den Autor: caschy
Dortmunder im Norden. Blogger, Freund gepflegter Technik, BVB-Maniac und Hausmeister dieses Blogs. Auch zu finden bei Twitter, Google+, Facebook, XING und YouTube.

76 Kommentare

Piets 11. August 2009 um 09:13 Uhr

Danke für die Info, aber ich denke, dass du die “wp-login.php” meinst, und nicht die “wp-admin.php”

xaitax (

@0x23232323) 11. August 2009 um 09:17 Uhr

removed

Gilly (

@gillyberlin) 11. August 2009 um 09:32 Uhr

Gefixt

Jan 11. August 2009 um 09:36 Uhr

Danke schön!

Luigi (

@hartgekocht) 11. August 2009 um 09:37 Uhr

Danke für den Tipp! Habe die Datei sofort gefixt.

Sascha (

@sn0opy) 11. August 2009 um 09:38 Uhr

Der Fix verrät eigentlich schon die Lücke :p

Ist aber mal wieder ein Bug, den man einfach nicht beim ersten mal sieht.

Der Domme 11. August 2009 um 09:38 Uhr

Danke dafür. Direkt gefixt.

MTBTier 11. August 2009 um 09:40 Uhr

Gefixt und weiter publiziert. Danke für den Hinweis.

Fenja 11. August 2009 um 09:54 Uhr

Super, dankeschön – gleich behoben und retweetet

Bjoern (

@buerstinghaus) 11. August 2009 um 09:54 Uhr

Behoben! vielen Dank!

Tim 11. August 2009 um 09:58 Uhr

Ach du warst das also bei mir. Danke =D

Michael Bornkessel 11. August 2009 um 10:04 Uhr

Vielen Dank für den Hinweis auf die Lücke! Ich habe den Fix direkt eingebaut und deinen Tweet gleich weitergereicht

tim_tom 11. August 2009 um 10:07 Uhr

Für alle interessierte,…hier mehr infos:
http://lists.grok.org.uk/piper.....70139.html

super 11. August 2009 um 10:09 Uhr

Echt toll, dass du die Lücke so schön dokumentierst. Gerade das sollte man nicht machen und wurde auch beim letzten Bug nicht gemacht siehe WPD….

Ich hoffe, ihr habt es auch dem Security Team von WP gemeldet….

caschy 11. August 2009 um 10:10 Uhr

@super:

jau, ist es wohl – und zudem hat auch Heise eine halbe Stunde nach meinem Text darüber berichtet.

MBDealer 11. August 2009 um 10:35 Uhr

Na dann gibt es wohl in ein paar Tagen wieder ne neue Version von WordPress … da kommt man ja nicht mehr zum bloggen bei den ganzen Updates

Hannes Schurig (

@schurigh) 11. August 2009 um 10:41 Uhr

Danke für den Hinweis, fixed.
Ziemlich derber, simpler Fehler für ein offizielles Release.

Gerrit (

@gerriten) 11. August 2009 um 10:47 Uhr

Danke für den Hinweis und die Fix.

ocean90 11. August 2009 um 11:07 Uhr

Schön und gut, aber der Fix reicht nicht wirklich aus und wurde auch schon wieder entfernt, siehe Changeset 11799. In der Timeline gibt es weitere Änderungen, siehe Changeset 18000 – 18004.

Dies ist somit nur ein oberflächlicher Fix und sollte kein Grund sein, um nicht auf das nächste Sicherheitsrelease zu verzichten.

Könnte man eventuell hinzufügen.
Schönen Gruß.

Adrian 11. August 2009 um 11:14 Uhr

Danke!

Freakazoid 11. August 2009 um 11:23 Uhr

So schwer ist die Sicherheitslücke gar nicht. o.o
Sie ist nur einfach auszunutzen…aber mal ehrlich, viel kann der Angreifer nicht machen…

Ed 11. August 2009 um 11:39 Uhr

was is das denn fürn scheiß?
du erklärst nicht WARUM es da ein fehler gibt, aber “jaja passt schon, nur das da ändern”

du weißt schon, dass eine opensource entwicklung davon lebt, dass wenn was gefunden wird, auch alles dadrum dokumentiert wird?

ich persönlich denke mir ich weiß warum, bin mir aber net komplett sicher aber hier solls ja auch nicht technisch werden.
wie vielen gutmenschen könntest du auf diese art, nicht was für scheiß code einschleusen?? einfach nur weil von coding kein dunst haben und da alles reinkopieren würden! DAS ist die größte lücke am system. der user!

caschy 11. August 2009 um 11:42 Uhr

@ed:
WARUM es den Fehler gibt, weiss ich nicht, schließlich bin ich KEIN Coder. Wohl weiss ich aber, dass hier viele Blogger mitlesen, die den Scheiss erst einmal absichern wollen. Darum geht es. Des Weiteren weiss das WP-Team um diese Lücke. Aber deswegen gibt es hier auch keine Anleitung, wie man das ausführen kann…

Der geilste Typ 11. August 2009 um 12:05 Uhr

Danke für die Info! Hab meine Blogs direkt gefixt.

Filzo 11. August 2009 um 12:15 Uhr

Ich habe bei mir mal versucht, den Fehler etwas zu erläutern. Danke für den Hinweis, caschy.

caschy 11. August 2009 um 12:18 Uhr

Danke, ich trage es mal nach

No-Trace 11. August 2009 um 12:38 Uhr

Publiziert wurde das ganze von http://g-laurent.blogspot.com/.....reset.html.

Irgendwie ist die 2.8er Version von WordPress besch…eiden

Marc (

@gregma) 11. August 2009 um 12:48 Uhr

Das funktioniert aber nur, wenn man gleichzeitig den/einen Benutzernamen des Admins kennt… richtig?
Und wer unter WordPress noch “admin” verwendet… na ja…

Gerrit (

@gerriten) 11. August 2009 um 12:49 Uhr

Ok. Welche Änderungen müssen den nun durchgeführt werden? Beim Anschauen der TimeLine entsteht lediglich Verwirrung.

Die Änderung bzgl. is_Array scheint nicht korrekt zu sein. Dort wird bereits eine Änderung, welche statt is_array !is_String nutzt.

http://core.trac.wordpress.org/changeset/11799

Außerdem sind noch weitere Änderungen unter dem Thema “Pass user login when resetting passwords. “

Perry 11. August 2009 um 13:15 Uhr

@Marc

Falsch, das funktioniert immer.
Man führe sich bitte die Erklärung von Filzo zu Gemüte.
Die Datenbankabfrage nach “SELECT * FROM $wpdb->users WHERE user_activation_key = %s” liefert dann alle Benutzer aus wp_users zurück, deren Feld user_activation_key = ” ist.
Da dabei automatisch nach dem Primärschlüssel (ID) sortiert wird und für gewöhnlich der Admin die ID = 1 hat, wird eben genau diese Zeile zurückgeliefert.

Gruß, Perry