WordPress 2.8.3: Admin password reset exploit – schwere Sicherheitslücke
von caschy | 72 Kommentare
Gerade eben von meinem langjährigen Netzkollegen Alexander auf eine Sicherheitslücke in WordPress 2.8.3 aufmerksam gemacht worden. So ist es jedem möglich, dass Passwort des Administrators zurück zu setzen. Zwar kann man die Lücke nicht ausnutzen sofern man nicht auf das Mailkonto des Admins Zugriff hat, doch dieser kann sich auch erst einmal nicht einloggen, ohne vorher sein neues Passwort per Mail abzufragen. Um dies bis zur nächsten Version zu beheben, öffnet eure wp-login.php und ändert in Zeile 190 den Text von if ( empty( $key ) ) in if ( empty( $key ) || is_array( $key ) ).
Betroffen sind scheinbar nur die Versionen 2.8.x. Ich weiss wie der Exploit ausgeführt wird und habe ihn erfolgreich an zwei Blogs ausprobieren können. Allerdings werde ich den Aufruf hier logischerweise nicht veröffentlichen. Den ganzen Ärger kann man sich auch sparen, sofern man seinen Daten zusätzlich per .htaccess absichert.
Nachtrag: bitte eventuell auch diesen Kommentar beachten. Ausserdem findet ihr hier den technischen Hintergrund.
Wird geladen ...
Vielen Dank für den Hinweis!
Habe die Datei sofort geändert. 😉
Falsch, das funktioniert immer.
Man führe sich bitte die Erklärung von Filzo zu Gemüte.
Die Datenbankabfrage nach “SELECT * FROM $wpdb->users WHERE user_activation_key = %s” liefert dann alle Benutzer aus wp_users zurück, deren Feld user_activation_key = ” ist.
Da dabei automatisch nach dem Primärschlüssel (ID) sortiert wird und für gewöhnlich der Admin die ID = 1 hat, wird eben genau diese Zeile zurückgeliefert.
Gruß, Perry
Mal im ernst, wer lässt die Adminid nach der Installation bei 1 das erste was ich Tat war die ID zu ändern und nein nicht auf 2 😉
mfg
„Allerdings werde ich den Aufruf hier logischerweise nicht veröffentlichen.“
Geheimnis Geheimnis … das kriegt man in ca. 5 sec raus, wenn man google bedienen kann …
WordPress 2.8.4 ist da. Download. Stay safe. 🙂
Na, wenn schon das Paket von 2.8.3 auf 2.8.4:
http://is.gd/2ddoQ
Danke für den Hinweis. Super!
Ich habe eben gelesen, dass die beta 2 von WordPress 3.0 ab sofort zu haben ist, falls jemand die testen will. Ein RC soll bald folgen und die finale Ausgabe soll voraussichtlich am 15.5.2010 erscheinen.
Quelle: http://blog.wordpress-deutschland.org/2010/05/07/wordpress-3-0-hat-beta2-status-erreicht.html