In dem Wordpress-Plug-in "Really Simple Security" klafft eine kritische Sicherheitslücke, die Angreifern die Übernahme einer Wordpress-Seite ermöglicht. Sie können unter Umständen die Authentifizierung umgehen. Das Plug-in kommt auf mehr als vier Millionen Wordpress-Webseiten zum Einsatz, erklärt das IT-Sicherheitsunternehmen Wordfence.
Anzeige
In einem Blog-Beitrag schreibt Wordfence, dass das Plug-in zuvor unter dem Namen Really Simple SSL bekannt war und nun in den Versionen Free, Pro und Pro Multisite bekannt ist. Alle Fassungen sind in den Version 9.0.0 bis 9.1.1.1 verwundbar.
In diesen betroffenen Fassungen können Angreifer aufgrund einer unzureichenden User-Check-Fehlerbehandlung in der Zwei-Faktor-REST-API der Funktion check_login_and_get_user auch ohne vorherige Authentifizierung als existierender Nutzer in der Website anmelden (CVE-2024-10924, CVSS 9.8, Risiko "kritisch"). Etwa mit dem Administrator-Konto. Dafür muss jedoch die Zwei-Faktor-Authentifizierung aktiviert sein – die ist zwar standardmäßig aus, jedoch empfehlen IT-Sicherheitsexperten stets, diesen Sicherheitsmechanismus zu aktivieren.
In dem Blog-Eintrag analysieren die Wordfence-Autoren die Schwachstelle für Interessierte ausführlicher.
Aufgrund des hohen Schweregrads der Sicherheitslücke hat der Plug-in-Entwickler mit dem Wordpress-Plug-ins-Team zusammengearbeitet, um ein forciertes Sicherheitsupdate auf die fehlerbereinigte Version 9.1.2 automatisch auf die Wordpress-Instanzen zu verteilen, die eine verwundbare Version einsetzen. Dadurch sollten die meisten betroffenen Webseiten bereits die gepatchte Version einsetzen. Wordfence betont jedoch, dass eine Überprüfung sinnvoll ist, ob das Update tatsächlich stattgefunden hat, um es gegebenenfalls manuell nachzuholen. Der Prozess sei am Donnerstag dieser Woche angelaufen, erörtert das IT-Sicherheitsunternehmen.
Aufgrund der Vielzahl an verfügbaren Wordpress-Plug-ins kommen häufig Sicherheitslücken in diesen zum Vorschein. Dass ein Plug-in gleich so viele Webseiten gefährdet, ist jedoch seltener. Zuletzt fiel etwa das auf mehr als sechs Millionen Wordpress-Seiten eingesetzte Litespeed-Cache-Plug-in durch gravierende Sicherheitslücken auf.
Anzeige