Die beliebte Bloggersoftware Wordpress ist in Version 3.0.4 erschienen und schließt eine gefährliche Sicherheitslücke.
Wordpress 3.0.4 erschienen!
Wie jedes beliebte Contentmanagement System ist gerade auch Wordpress ein beliebtes Ziel von Angreifern. Und es tauchen auch immer wieder neue Sicherheitslücken auf.
In der Vorgängerversion bestand ein Leck, welches für Cross Site Scripting bzw. XSS ausgenutzt werden konnte. Um das Loch zu stopfen, wurden die Dateien formatting.php und kses.php modifiziert.
Während in der Datei formatting.php lediglich eine Änderung durchgeführt wurde, waren es in der Datei kses.php sieben Änderungen. Die genauen Modifikationen kann man sich sehr übersichtlich im Wordpress Changeset ansehen.
Ein Update auf Version 3.0.4 ist also Pflicht für jeden Wordpress Anwender. Im Kontrollzentrum von Wordpress ist das aber schnell erledigt. Neueinsteiger können sich das aktuelle Wordpress auch unter http://wordpress.org/download/ holen.
Wer sich nicht ganz sicher ist, ob sein Wordpress eventuell schon von einem Hacker unterwandert ist, sollte sich den Exploit Scanner herunterladen.
Der Exploit Scanner durchsucht Dateien und Datenbank auf verdächtige Anzeichen. Es werden auch die Datenbanktabellen der Posts und Kommentare untersucht, welche sicher besonders anfällig für die Einspeisung von Schadcode sind. Außerdem werden alle Namen der aktiven Plugins auf ihre Sinnhaftigkeit geprüft.
Wird der Exploit Scanner fündig, löscht er aber nichts. Hier muss man also keine Bedenken haben. Löschaktionen bleiben nach wie vor dem User überlassen, aber man weiß, was höchstwahrscheinlich zu entfernen ist.
Hier geht es zum Exploit Scanner - Download.
Nach dem Download liegt das Plugin als Zip-Datei vor und wird einfach entpackt. Danach wird das Exploit Scanner Verzeichnis in den Plugin Ordner kopiert. Jetzt muss nur noch die Plugin-Seite aufgerufen werden und das Plugin natürlich auch aktiviert werden. Unter dem Tools Menü ist jetzt ein neuer Eintrag "Exploit Scanner" vorhanden.
