WordPress behebt kritische Sicherheitslücke
WordPress hat die Version 6.4.2 veröffentlicht, um eine kritische Sicherheitslücke zu beheben. In Kombination mit einem anderen Fehler könnten Angreifer diese Lücke nutzen, um beliebigen PHP-Code auf anfälligen Websites auszuführen.
Das Problem besteht in einer Sicherheitslücke für die Ausführung von Remote-Code, obwohl sie nicht direkt im Hauptsystem von WordPress ausgenutzt werden kann. Dennoch ist laut dem Sicherheitsteam von WordPress das Risiko hoch, insbesondere in Kombination mit bestimmten Plugins, vor allem bei Multisite-Installationen.
Wordfence, ein WordPress-Sicherheitsunternehmen, hat diese Schwachstelle auf die WP_HTML_Token-Klasse zurückgeführt, die in Version 6.4 eingeführt wurde, um das HTML-Parsing im Block-Editor zu verbessern. Ein Angreifer, der eine Schwachstelle für PHP-Objektinjektion in einem anderen Plugin oder Theme ausnutzen kann, kann beide Schwachstellen kombinieren, um beliebigen Code auszuführen und die Kontrolle über die betroffene Website zu übernehmen. Wenn eine „POP-Kette“ über ein zusätzliches Plugin oder Theme auf dem Zielsystem installiert ist, könnte dies dem Angreifer erlauben, Dateien zu löschen, sensible Daten abzurufen oder Code zu aktivieren, erklärt Wordfence.
Ein Bericht von Patchstack weist darauf hin, dass seit dem 17. November eine Exploit-Kette auf GitHub verfügbar ist und dem PHP Generic Gadget Chains (PHPGGC) Projekt hinzugefügt wurde. Benutzer werden dringend aufgefordert, ihre Websites manuell zu überprüfen, um sicherzustellen, dass sie auf die neueste Version aktualisiert wurden. Dave Jong, CTO von Patchstack, empfiehlt Entwicklern, deren Projekte Funktionsaufrufe für die „unserialize“-Funktion enthalten, diese durch andere Methoden wie die Verwendung der PHP-Funktionen json_encode und json_decode zu ersetzen.