WordPress Plug-in loggt Passwörter im Klartext

Wie wichtig Webseitensicherheit ist, hat sich mittlerweile herumgesprochen. Da kommt es vielen gelegen, wenn Unternehmen einfach zu implementierende Lösungen anbieten. Eines dieser Unternehmen ist Updraft, das über sein All-In-One Security (AIOS) WordPress Plug-in Dienste wie Web Application Firewalls, Content Protection und Login Security Tools für WordPress-Webseiten anbietet, mit denen sich Bots stoppen und Brute-Force-Angriffe verhindern lassen. Doch genau dieses Tool stellt nun ein Sicherheitsrisiko dar.

Vor rund drei Wochen berichtete ein Nutzer, dass das AIOS v5.1.9-Plugin nicht nur die Anmeldeversuche der Benutzer in der Datenbanktabelle aiowps_audit_log aufzeichnete, die zur Verfolgung von An- und Abmeldungen und fehlgeschlagenen Anmeldungen verwendet wird, sondern auch das eingegebene Passwort. Er zeigte sich besorgt darüber, dass dieses Vorgehen des Programms gegen mehrere Sicherheitsstandards verstößt, darunter NIST 800-63 3, ISO 27000 und die DSGVO.

Doch bei Updraft wiegelte man zunächst ab. Es handele sich um einen bekannten Bug, der mit der Veröffentlichung der nächsten Version behoben werde. Doch nach genauerer Betrachtung des Problems kam man offenbar auch bei Updraft zu einer anderen Einschätzung, denn etwa eine Woche später wurden besorgten Nutzern Developement Builds der nächsten Version des Plug-ins zur Verfügung gestellt, mit denen die Sicherheitslücke geschlossen werden sollte. Der Erfolg dieser Maßnahme hielt sich jedoch in Grenzen, denn wer versuchte, die Developement Builds zu installieren, sah sich mit Webseitenproblemen konfrontiert – und die Logs mit den Passwörtern im Klartext waren trotzdem weiterhin vorhanden.

Am 11. Juli folgte dann endlich die Veröffentlichung der neuesten Version 5.2.0 von AIOS, bei der keine weiteren Passwörter im Klartext aufgezeichnet und die betroffenen älteren Logs gelöscht werden. Nutzer der älteren Version sollten daher schnellstmöglich das Update auf die neueste Version durchführen – und überlegen, die bisherigen Passwörter zu ändern, insbesondere dann, wenn diese auch bei anderen Programmen und Webseiten zum Einsatz kommen.

Noch haben längst nicht alle Nutzer von AIOS die neue Version installiert. Ein Blick auf die WordPress-Statistik zeigt, dass weniger als ein Drittel ihre Webseite inzwischen abgesichert haben. Das liegt sicherlich auch an der Kommunikation von Updraft rund um die Sicherheitslücke, denn zu keinem Zeitpunkt hat das Unternehmen seine Nutzer während des Expositionszeitraums vor dem erhöhten Risiko gewarnt und ihnen gesagt, welche Maßnahmen sie ergreifen sollten. Da das Problem mittlerweile seit mehr als drei Wochen bekannt ist und WordPress ohnehin zu den beliebtesten Zielen der Hacker gehört, steigt das Risiko eines Angriffs stetig weiter.

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Firmenkontakt und Herausgeber der Meldung:

8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de

Ansprechpartner:
Felicitas Kraus
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Julia Olmscheid
Head of Communications
Telefon: +49 6321 484460
E-Mail: redaktion@8com.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel