News, WordPress

Was ist XSS (Cross-Site Scripting)

WordPress Entwickler und Webdesigner

Schwere Sicherheitslücke in WP Super Cache und W3 Total Cache

Mit XSS wird eine Sicherheitslücke am Computer bezeichnet, mit deren Hilfe zunächst schädliche Informationen über einen vertrauenswürdigen Kontext eingefügt werden. Anschließend wird der Angriff gestartet. Dabei leitet sich der Name Cross-Site davon ab, dass die entsprechende Attacke webseitenübergreifend gestartet wird.

Anzeige:




Wie beispielsweise bei der XSS-Lücke von WordPress: Hier waren die Kommentarfelder betroffen, ohne die kaum eine Webseite auskommt, die mit WordPress betrieben werden. Der Angreifer brauchte nur einen Kommentar mit dem schädlichen Javascript zu posten. Während der Kontrolle der Kommentare durch den Admin wurde der schädliche Code aktiviert und erlaubte es, dass dieser beispielsweise unbemerkt das Passwort des Admins änderte, einen neuen Account anlegt oder auf dem Server schadhaften PHP Code ablegt. Der schädliche Code konnte somit auf das gesamte Betriebssystem des Servers zugreifen, Spam in Blogtexten ablegen und andere Funktionen des Admins ausüben.

XSS wurde von den Entwicklern vernachlässigt

Vordergründig stellt XSS zunächst kaum eine Gefahr dar, weder für den Server, noch für die Daten. Trotzdem kann ein Angreifer mit Hilfe von XSS eine ganze Menge Schaden anrichten: Er könnte Login-Daten stehlen, oder Session-Cookies, er könnte Software auf dem Rechner installieren. Wer auf seiner Seite ein Formular hat, in das Besucher der Webseite ihre Kommentare eintragen können, hat ein Beispiel für eine Applikation, die anfällig für XSS sein kann. Wenn das Formular HTML-Tags zulässt, könnte der Angreifer mit JavaScript jeden weiteren Besucher mit einem PopUp begrüßen oder ihn direkt auf eine andere Seite leiten. Sollte der Angreifer weitere dynamische Sprachelemente platzieren können, dann kann er beispielsweise bestehende Links manipulieren, Phishing-Angriffe starten oder geschriebene Texte austauschen. Schwerwiegend war dies Lücke vor allem auch deshalb, da die meisten großen Webhoster WordPress als 1Click Install direkt mit anbieten, wie z.B. der Testsieger One.com auf Netzsieger.de.

XSS ist gefährlich für alle

Eigentlich könnte man denken, dass ein solcher Angriff das Problem desjenigen ist, der die Webseite betreibt, beispielsweise mit WordPress. Doch so einfach ist das nicht. XSS wird für sensible Daten, wie beispielsweise Passwörter, dann zu einer Gefahr, wenn die Opfer bereits durch den Besuch einer verseuchten Seite ebenfalls angegriffen werden. Hinterlässt der Angreifer über diese Lücke seinen schadhaften Code auf dem Benutzerkommentar im Blog oder in einem Forum, wird jeder weitere Besucher des Threads oder der Seite ebenfalls angegriffen, ohne dass der Angreifer selbst daran weiter manipulieren muss. Gibt es dagegen eine Lücke, in der spezielle Eingaben gemacht werden müssen, wie bei einem Suchfeld, dann muss ein Angreifer die entsprechende URL mit XSS modifizieren. So werden die potentiellen Opfer nicht auf die seltsamen Zeichen aufmerksam und vertrauen der URL, die auf eine scheinbar interessante Seite führt. Auf diese Weise wurden schon mehrere Würmer per Mail verbreitet.

WordPress hat die Lücke geschlossen

WordPress hat ab der Version 4.0.1 die XSS-Lücke geschlossen, durch die der schädliche Code auf die Webseite mit dem beliebten CMS geschleust werden konnte. Nebenbei wurden weitere Sicherheitslücken geschlossen. Trotzdem gilt in jedem Fall: Alle Daten sind immer sorgfältig zu prüfen.

Bildquelle: © maxkabakov – Fotolia.com

Schlagworte zu diesem Artikel: , , , ,

Veröffentlicht von Gastautor

Unter dem Namen Gastautor werden sämtliche Artikel geführt die von verschiedenen Gastautoren auf dem Webdesign-Podcast.de veröffentlicht wurden. Autoren die sich regelmäßig am Webdesign-Podcast.de beteiligt haben, sind auf der Team Seite zu finden.

Webseite:

Kommentar verfassen

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.

Der Benachrichtigungs-Dienst wird von WordPress.com (Automattic Inc., USA ) bereitgestellt. Mit der Anmeldung akzeptierst du die Datenschutzerklärung. Die Abmeldung / Abo-Verwaltung ist jederzeit über diesen Link möglich.