LiteSpeed-Sicherheitslücke: Plugin-Fehler gefährdet Websites

Wie aus jüngsten Berichten, a LiteSpeed-Schwachstelle die die zu einer unberechtigten Kontrolle beliebiger Konten führen kann, entdeckt worden. Die Details zu dieser WordPress-Sicherheitslücke wurden dank der Bemühungen des Patchstack-Forschers Rafie Muhammad veröffentlicht. In diesem Artikel gehen wir auf diese Details ein und zeigen auf, wie Bedrohungsakteure die LiteSpeed-Sicherheitslücke. Fangen wir an!

Erste Entdeckung der LiteSpeed-Schwachstelle

Die Entdeckung dieser Sicherheitslücke erfolgte im Rahmen einer umfassenden Sicherheitsanalyse des Plugins. Bevor wir auf die Details eingehen, sei erwähnt, dass diese Analyse bereits Anfang dieses Jahres zur Entdeckung einer weiteren Sicherheitslücke geführt hatte. Die vorherige Sicherheitslücke wurde unter der Kennung CVE-2024-28000 erfasst. 

Sie hatte einen CVSS-Wert (critical vulnerability severity score) von 9,8 und konnte von Bedrohungsakteuren zur Ausweitung von Berechtigungen ausgenutzt werden. Die kürzlich identifizierte Sicherheitslücke wird als CVE-2024-44000 geführt und hat einen CVSS-Wert von 7,5. Diese Schwachstelle ist zwar weniger schwerwiegend als ihre Vorgängerin, kann aber, wenn sie ausgenutzt wird, immer noch Schaden bei den kompromittierten Benutzern anrichten. 

Der nicht authentifizierte LiteSpeed-Cache-Fehler betrifft Versionen, die vor 6.4.1. erschienen sind, sowie die Version 6.4.1. selbst. Erkenntnisse zu dieser LiteSpeed-Schwachstellehat der Forscher Rafie Muhammad erklärt dass:

"Das Plugin weist eine Schwachstelle in Bezug auf die Übernahme eines nicht authentifizierten Kontos auf, die es jedem nicht authentifizierten Besucher ermöglicht, Authentifizierungszugriff auf alle angemeldeten Benutzer zu erlangen und im schlimmsten Fall Zugriff auf eine Administratorrolle zu erhalten, woraufhin bösartige Plugins hochgeladen und installiert werden können."

CVE-2024-44000 und Schutzmaßnahmen 

Die neue LiteSpeed-Schwachstelle besteht aufgrund einer Protokolldatei namens "/wp-content/debug.log". Diese Datei ist öffentlich zugänglich, so dass Hacker die Möglichkeit haben, sich unautorisierten Zugang zu verschaffen. Der erlangte Zugriff kann dazu verwendet werden, sensible Informationen in der Datei einzusehen. Darüber hinaus können sie auch Cookie-Informationen sehen, die in HTTP-Antwort-Headern enthalten sind.

Der Zugriff auf diese Informationen ermöglicht es Bedrohungsakteuren, einen Angriff auf der Grundlage der neuen Sicherheitslücke zu starten. Durch Ausnutzung dieser Schwachstelle kann sich ein Bedrohungsakteur mit einer beliebigen aktiven und gültigen Sitzung bei einer anfälligen Website anmelden. Der niedrige Schweregrad hängt damit zusammen, dass eine Voraussetzung erfüllt sein muss, damit die Schwachstelle als ausnutzungswürdig angesehen wird.

Um die Sicherheitslücke für böswillige Zwecke, muss die Debug-Funktion in WordPress aktiviert sein. Die Sicherheitslücke könnte, falls sie ausgenutzt wird, auch Nutzer betreffen, die die Funktion irgendwann einmal aktiviert, die Debug-Datei aber nicht entfernt haben. An dieser Stelle sei erwähnt, dass diese Funktion standardmäßig deaktiviert ist. 

Was die Schutzmaßnahmen für diese Sicherheitslücke betrifft, so wurde sie in Version 6.5.0.1 behoben. Um den Schutz zu gewährleisten, verschiebt der Patch die Protokolldatei in einen speziellen Ordner namens "/wp-content/litespeed/debug/". Außerdem werden die Dateinamen nach dem Zufallsprinzip vergeben und die Cookies für das Optionsprotokoll in der Datei gelöscht. 

Schlussfolgerung 

Die LiteSpeed-Sicherheitslücke macht deutlich, wie wichtig die Absicherung von WordPress-Installationen ist, insbesondere wenn Debugging-Funktionen aktiviert sind. Website-Besitzer sollten umgehend auf die neueste Plugin-Version aktualisieren und die empfohlenen Sicherheitsmaßnahmen umsetzen, um die Risiken zu minimieren und sicherzustellen, dass ihre Websites vor unbefugtem Zugriff und potenzieller böswilliger Ausnutzung geschützt bleiben.

Zu den Quellen für diesen Beitrag gehören Artikel in Die Hacker-Nachrichten und TechRadar.