WordPress Plug-in loggt Passwörter im Klartext

Wie wichtig Webseitensicherheit ist, hat sich mittlerweile herumgesprochen. Da kommt es vielen gelegen, wenn Unternehmen einfach zu implementierende Lösungen anbieten. Eines dieser Unternehmen ist Updraft, das über sein All-In-One Security (AIOS) WordPress Plug-in Dienste wie Web Application Firewalls, Content Protection und Login Security Tools für WordPress-Webseiten anbietet, mit denen sich Bots stoppen und Brute-Force-Angriffe verhindern lassen. Doch genau dieses Tool stellt nun ein Sicherheitsrisiko dar.

Vor rund drei Wochen berichtete ein Nutzer, dass das AIOS v5.1.9-Plugin nicht nur die Anmeldeversuche der Benutzer in der Datenbanktabelle aiowps_audit_log aufzeichnete, die zur Verfolgung von An- und Abmeldungen und fehlgeschlagenen Anmeldungen verwendet wird, sondern auch das eingegebene Passwort. Er zeigte sich besorgt darüber, dass dieses Vorgehen des Programms gegen mehrere Sicherheitsstandards verstößt, darunter NIST 800-63 3, ISO 27000 und die DSGVO.

Doch bei Updraft wiegelte man zunächst ab. Es handele sich um einen bekannten Bug, der mit der Veröffentlichung der nächsten Version behoben werde. Doch nach genauerer Betrachtung des Problems kam man offenbar auch bei Updraft zu einer anderen Einschätzung, denn etwa eine Woche später wurden besorgten Nutzern Developement Builds der nächsten Version des Plug-ins zur Verfügung gestellt, mit denen die Sicherheitslücke geschlossen werden sollte. Der Erfolg dieser Maßnahme hielt sich jedoch in Grenzen, denn wer versuchte, die Developement Builds zu installieren, sah sich mit Webseitenproblemen konfrontiert – und die Logs mit den Passwörtern im Klartext waren trotzdem weiterhin vorhanden.

Am 11. Juli folgte dann endlich die Veröffentlichung der neuesten Version 5.2.0 von AIOS, bei der keine weiteren Passwörter im Klartext aufgezeichnet und die betroffenen älteren Logs gelöscht werden. Nutzer der älteren Version sollten daher schnellstmöglich das Update auf die neueste Version durchführen – und überlegen, die bisherigen Passwörter zu ändern, insbesondere dann, wenn diese auch bei anderen Programmen und Webseiten zum Einsatz kommen.

Noch haben längst nicht alle Nutzer von AIOS die neue Version installiert. Ein Blick auf die Wordpress-Statistik zeigt, dass weniger als ein Drittel ihre Webseite inzwischen abgesichert haben. Das liegt sicherlich auch an der Kommunikation von Updraft rund um die Sicherheitslücke, denn zu keinem Zeitpunkt hat das Unternehmen seine Nutzer während des Expositionszeitraums vor dem erhöhten Risiko gewarnt und ihnen gesagt, welche Maßnahmen sie ergreifen sollten. Da das Problem mittlerweile seit mehr als drei Wochen bekannt ist und WordPress ohnehin zu den beliebtesten Zielen der Hacker gehört, steigt das Risiko eines Angriffs stetig weiter.

‍

Bild (c) Song_about_summer / Adobe Stock