In Ultimate Member, einem der beliebtesten Mitgliedschafts-Plugins für WordPress, wurde eine schwerwiegende Sicherheitslücke entdeckt. Diese ermöglicht es, Links zum Zurücksetzen von Passwörtern offenzulegen und Benutzerkonten, einschließlich Administratorkonten, zu übernehmen. Bis zu 200,000 WordPress-Installationen könnten betroffen sein. Die Sicherheitslücke wird als schwerwiegend eingestuft (8.8 von 10 Punkten).
Wie Roger Montti im Search Engine Journal berichtet, beruht das Problem auf drei logischen Fehlern, die miteinander kombiniert werden. Der Angreifer benötigt Zugriffsrechte auf Mitwirkendenebene, um diese Sicherheitslücke auszunutzen. Gelingt ihm dies, sind die Folgen verheerend: die vollständige Übernahme des Website-Kontos.
Was macht ein Ultimate Member?
Bevor wir auf die Details der Sicherheitslücke eingehen, ist es wichtig, die Funktionsweise dieses Plugins zu erläutern. Ultimate Member ist ein WordPress-Plugin für Mitgliederverwaltung und Benutzerprofile, mit dem Website-Betreiber Online-Communities, Mitgliederportale und Benutzerverzeichnisse erstellen können. Mit Ultimate Member können sich Benutzer auf einer Website registrieren, anmelden, Benutzerprofile erstellen und in durchsuchbare Mitgliederverzeichnisse eintragen; sie können außerdem Autoren werden und Beiträge sowie Kommentare verfassen.
Daher wird Ultimate Member häufig auf Websites eingesetzt, die Community-Aktivitäten und -Teilnahme ermöglichen, auf Freelancer-Plattformen, Bildungsportalen oder abonnementbasierten Websites. Wenn eine Website dieses Plugin zur Verwaltung von Benutzerrollen und Mitgliedschaften verwendet, ist sie von der beschriebenen Sicherheitslücke betroffen.
Wie der Angriff funktioniert
Diese Schwachstelle ist kein einzelner Fehler, sondern vielmehr eine Kette von drei separaten Problemen, die ein Angreifer kombiniert, um die vollständige Übernahme eines Kontos zu erreichen.
Zunächst bringt der Angreifer das Plugin dazu, beliebige Beiträge als legitime Mitgliederverzeichnisse zu behandeln. Normalerweise ist das Mitgliederverzeichnis die kontrollierte Liste der Benutzer, die auf der Website angezeigt wird; mithilfe der fehlerhaften Validierung leitet der Angreifer die Verzeichnisfunktionalität jedoch auf Inhalte um, die unter seiner Kontrolle stehen.
Zweitens umgeht der Angreifer die Beschränkungen für geschützte Metadatenfelder. Metadaten in WordPress enthalten oft interne Informationen, die Plugins von normalen Benutzern nicht direkt manipulieren können.
Drittens validiert das Plugin die Feldnamen, die zur Generierung der Benutzerkartendaten verwendet werden, nicht. Daher fordert der Angreifer Felder an, die den Benutzern niemals angezeigt werden dürfen, insbesondere den Link zum Zurücksetzen des Passworts.
Als Folge davon kann der Angreifer mit Zugriffsrechten auf Mitwirkendenebene das Plugin dazu zwingen, die URL zum Zurücksetzen des Live-Passworts für jedes Konto auf der Website, einschließlich des Administratorkontos, preiszugeben.
Warum Links zum Zurücksetzen von Passwörtern so gefährlich sind
Links zum Zurücksetzen des Passworts sind temporäre Anmeldedaten. Sie müssen vertraulich behandelt und dürfen nur an den Kontoinhaber gesendet werden.
Sobald ein Angreifer diesen Link besitzt, genügen wenige Schritte, um die vollständige Kontrolle über die Website zu erlangen. Zunächst klickt der Angreifer auf den Link und setzt das Administratorpasswort auf sein eigenes zurück. Anschließend meldet er sich als Administrator an und erhält vollen Zugriff auf das WordPress-Dashboard. Er kann Plugins installieren, Inhalte ändern, auf Benutzerdaten zugreifen und beliebige Änderungen vornehmen.
Wie Wordfence in seiner Bedrohungsanalyse feststellte, „ist es dadurch für authentifizierte Angreifer mit Zugriffsrechten auf Contributor-Level und höher möglich, Live-Passwort-Reset-URLs für alle Benutzer in der Mitgliederverzeichnis-Antwort, einschließlich Administratoren, zu veröffentlichen.“
Was der Zugriff auf Mitwirkendenebene bedeutet
Ein zentraler Aspekt dieser Sicherheitslücke ist ihr Angriffspunkt. Da diese Schwachstelle authentifiziert ist, kann ein Angreifer sie nicht ohne vorherigen Zugriff auf die WordPress-Website ausnutzen. Er benötigt mindestens Mitwirkendenrechte.
Das mag beruhigend klingen, ist aber in der Praxis nicht realistisch. Stellen Sie sich folgenden typischen Fall vor: Der Website-Betreiber vergibt Aufgaben an einen externen Dienstleister, der die Berechtigung zur Inhaltserstellung benötigt. Dieser Dienstleister kann den Beitrag mit dem anfälligen Template-Tag und dem Exfiltrationsmechanismus erstellen. Nachdem ein interner Mitarbeiter oder Administrator den Beitrag geprüft hat, wird das Passwort-Reset-Token für das Administratorkonto generiert und an den Server des Angreifers übertragen.
Mit anderen Worten: Jeder, dem jemals ein Zugriff auf die Website als Mitwirkender gewährt wurde und dessen Konto nie deaktiviert wurde, stellt ein potenzielles Einfallstor für Angriffe dar.
Der spezifische technische Fehler
Technisch gesehen liegt der Kern dieser Sicherheitslücke in der fehlerhaften Verarbeitung des Template-Tags {usermeta:password_reset_link} innerhalb des Shortcodes [um_loggedin]. Sobald der Shortcode gerendert wird, generiert er das Passwort-Reset-Token für den aktuell angemeldeten Benutzer, der die Seite aufruft.
Der Exploit nutzt diese Schwachstelle aus, um einen schädlichen, ausstehenden Beitrag für den authentifizierten Angreifer mit Mitwirkendenrechten zu erstellen. Nachdem der Administrator den Beitrag in der Vorschau angezeigt hat, wird das Passwort-Reset-Token für das Administratorkonto generiert und an den Server des Angreifers übertragen. Dadurch erhält der Angreifer die vollständige Kontrolle über das WordPress-Konto.
Der Patch besteht aus der Modifizierung der Kernfunktionsdatei des Plugins, um den Kontext der Generierung von Passwort-Reset-Tokens ordnungsgemäß zu überprüfen und die Ausführung des Template-Tags im benutzergenerierten Inhalt zu verhindern.
Patch verfügbar
Diese Sicherheitslücke betrifft alle Versionen von Ultimate Member von Version 2.0.0 bis Version 2.11.4. Der Patch ist in Version 2.12.0 verfügbar und führt eine strengere Validierung für die Verwaltung des Mitgliederverzeichnisses und die zulässigen Benutzerdatenfelder ein.
Wenn Sie dieses Plugin auf Ihrer WordPress-Website verwenden, sollten Sie es umgehend auf Version 2.12.0 oder höher aktualisieren. Das Update ist im WordPress-Plugin-Dashboard verfügbar und lässt sich mit wenigen Mausklicks installieren.
Weitere Schritte nach der Aktualisierung
Das Update auf Version 2.12.0 behebt zwar das Problem, es gibt aber noch einige Punkte, die Sie zur weiteren Absicherung Ihrer Website in Betracht ziehen sollten.
Überprüfen Sie die Liste Ihrer Nutzer auf der Ebene der Mitwirkenden und deaktivieren Sie alle inaktiven Nutzer oder solche, die keinen Zugriff mehr auf Ihre Website haben sollten. Dies kann beispielsweise freiberufliche Autoren oder Gastautoren betreffen, deren Konto nach Abschluss des Auftrags noch aktiv ist.
Überprüfen Sie außerdem Ihr WordPress-Dashboard auf ungewöhnliche Administratorkonten, Passwortänderungen und Konfigurationsänderungen, die nicht von Ihnen vorgenommen wurden.
Die Zwei-Faktor-Authentifizierung kann als zusätzliche Sicherheitsmaßnahme für Administrator- und Redakteurskonten betrachtet werden. Selbst wenn in Zukunft ein Link zum Zurücksetzen des Passworts offengelegt werden sollte, stellt die Zwei-Faktor-Authentifizierung eine zweite Sicherheitsebene dar, die ein Angreifer zusätzlich überwinden müsste.
Achten Sie besonders auf ausstehende Beiträge, insbesondere wenn die Website mehrere Autoren hat. In diesem Fall nutzt ein Angreifer einen böswillig erstellten ausstehenden Beitrag aus, weshalb beim Vorlesen Vorsicht geboten ist.
Häufig gestellte Fragen
Frage 1: Was ist die Sicherheitslücke des Ultimate Member WordPress-Plugins?
Es handelt sich um eine kritische Sicherheitslücke mit einer Bewertung von 8.8 von 10 Punkten, die es jedem authentifizierten Angreifer auf Mitarbeiterebene ermöglicht, einen Link zum Zurücksetzen des Passworts für jedes Benutzerkonto im System, einschließlich des Administratorkontos, aufzudecken und so die Kontrolle über das Zielkonto zu erlangen.
Frage 2: Wie viele WordPress-Websites sind betroffen?
Insgesamt sind bis zu 200,000 WordPress-Websites, die Ultimate Member verwenden, aufgrund der Verwendung einer anfälligen Version dieses Plugins von dieser Sicherheitslücke betroffen.
Frage 3: Müssen Angreifer bereits Zugriff auf die Website haben, um diese Sicherheitslücke auszunutzen?
Ja. Es handelt sich um eine authentifizierte Schwachstelle, was bedeutet, dass ein Angreifer mindestens Zugriff auf Mitwirkendenebene benötigt, um diese Schwachstelle auszunutzen.
Frage 4: Welche Versionen des Plugins sind anfällig?
Alle Versionen von Ultimate Member bis einschließlich 2.11.4 sind von dieser Schwachstelle betroffen.
Frage 5: Gibt es eine Lösung?
Ja. Die neueste Version des Plugins – 2.12.0 – enthält einen Patch, der das Problem behebt und die Verwaltung des Mitgliederverzeichnisses sowie die Validierung der Benutzerdatenfelder verbessert.
Frage 6: Wie funktioniert der Angriff genau?
Ein Angreifer mit Autorenrechten erstellt einen Beitrag mithilfe eines anfälligen Template-Tags. Wenn ein Administrator den betreffenden Beitrag in der Vorschau ansieht, wird dem Angreifer ein Token zum Zurücksetzen des Passworts zugesendet. Mit diesem Token kann der Angreifer das Passwort ändern und die vollständige Kontrolle über die Zielwebsite erlangen.
Frage 7: Was soll ich tun, wenn ich glaube, dass meine Website bereits kompromittiert wurde?
Suchen Sie in Ihrem WordPress-Adminbereich nach verdächtigen Administratorkonten, Passwortänderungen und anderen Anzeichen unautorisierter Aktivitäten. Melden Sie alle Benutzer ab und erzwingen Sie ein Zurücksetzen ihrer Passwörter.
Frage 8: Kann eine Web Application Firewall davor schützen?
Ja. Sicherheits-Plugins mit Firewall-Funktion, wie beispielsweise Wordfence, helfen Ihnen dabei, Regeln festzulegen, die Ihre Website vor solchen Angriffen schützen. Dies ist besonders nützlich, wenn ein Plugin-Update aus irgendeinem Grund nicht möglich ist.
Frage 9: Warum ist es gefährlich, alte Mitarbeiterkonten auf einer WordPress-Website zu haben?
Alte, nicht gelöschte Benutzerkonten können einen einfachen Zugang zu Ihrer Website ermöglichen. Jeder, der in der Vergangenheit Zugriff auf die Website hatte, kann diese Konten weiterhin nutzen, um sich anzumelden und diese Sicherheitslücke auszunutzen, um Administratorrechte zu erlangen.
Frage 10: Wo kann ich weitere Informationen zu dieser Sicherheitslücke erhalten?
Die vollständigen Details der Sicherheitslücke finden Sie im Wordfence Threat Intelligence Advisory. Außerdem gibt es einen Artikel darüber im Search Engine Journal.
