Sicherheitslücken werden auf einer Skala von 0 bis 10 bewertet. Werte über 9 gelten als kritisch und kommen ein paar Mal im Jahr vor. Eine glatte 10 ist selten.
Genau die hat seit dem 29. August eine Lücke im WordPress-Plugin GiveWP — dem meistgenutzten Werkzeug für Spendenformulare.
Warum ausgerechnet 10 von 10
Der Höchstwert wird nur vergeben, wenn alles zusammenkommt: Der Angriff funktioniert über das Netz, er braucht keinerlei Anmeldung, er erfordert kein Zutun des Opfers, und am Ende steht die vollständige Übernahme des Servers.
Bei dieser Lücke stimmt jeder einzelne Punkt. Ein Angreifer schickt präparierte Daten an das Spendenformular; das Plugin baut daraus Objekte zusammen, die es nie hätte bauen dürfen, und darüber lässt sich eigener Programmcode ausführen. Die Schutzfunktion, die genau das verhindern sollte, war fehlerhaft — sie liess die gefährlichen Anteile durch.
Betroffen sind alle Fassungen bis einschliesslich 4.16.7.1. Behoben ist es in 4.16.7.2.
Wen es trifft
Die Voraussetzung klingt einschränkend, ist es aber nicht: Es braucht ein veröffentlichtes Spendenformular und ein aktives Zahlungsmittel. Das ist der Normalzustand jeder Website, die das Plugin überhaupt einsetzt. Wer GiveWP installiert hat und nutzt, ist angreifbar.
Und das trifft eine Gruppe, die uns aus der Praxis vertraut ist: Vereine, Stiftungen, Kirchgemeinden, Hilfswerke. Organisationen also, bei denen die Website oft von einem Vorstandsmitglied nebenher betreut wird und in denen niemand dafür zuständig ist, an einem Samstagabend Sicherheitsmeldungen zu lesen.
Dazu kommt eine unangenehme Eigenheit dieses Falls: Spendenseiten sind für Angreifer doppelt interessant. Neben dem Server locken die Zahlungsdaten der Spenderinnen und Spender.
Was zu tun ist
Auf 4.16.7.2 oder neuer aktualisieren. Das ist die ganze Massnahme, und sie dauert eine Minute.
Wenn Sie die Website für einen Verein betreuen und gerade unsicher sind, ob GiveWP dort läuft: Im Verwaltungsbereich unter Plugins steht es als «GiveWP» oder «Give – Donation Plugin». Finden Sie es dort und ist die Version älter als 4.16.7.2, hat das Vorrang vor allem anderen auf Ihrer Liste.
Wenn die Seite in den letzten Tagen ungewöhnlich reagiert hat — unerklärliche Benutzerkonten, veränderte Dateien, Warnungen von Google —, dann reicht das Update allein nicht mehr. Dann geht es um eine Bereinigung, und die Erste Hilfe für gehackte Websites beschreibt die ersten Schritte.
Der Teil, der über dieses Plugin hinausgeht
Wir haben gestern beschrieben, dass zwischen der Veröffentlichung einer Lücke und den ersten Angriffsversuchen auf unseren Servern sechs Tage lagen. Bei einer Bewertung von 10,0 ist mit weniger zu rechnen, nicht mit mehr: Je einfacher ein Angriff, desto schneller wird er automatisiert.
Für Vereinswebsites heisst das etwas Unbequemes. Die übliche Regelung — «der Marc schaut ab und zu» — funktioniert bei einer Taktung nicht mehr, in der ein Wochenende zwischen Bekanntgabe und Massenangriff liegt. Entweder aktualisiert die Website automatisch, oder jemand ist verbindlich zuständig. Ein Drittes gibt es nicht mehr.
Bei den Websites in unserer Wartung ist das Update bereits eingespielt. Wenn Sie unsicher sind, was auf Ihrer Vereinsseite läuft, sehen wir nach — das dauert wenige Minuten und kostet nichts.