Wenn eine Website den Anbieter wechselt, braucht es ein Werkzeug, das alles einpackt und am neuen Ort wieder auspackt. Bei WordPress heisst das meistgenutzte davon All-in-One WP Migration, und es läuft auf über fünf Millionen Websites.
Ende August wurde darin eine Lücke bekannt, die mit 8,8 von 10 Punkten bewertet ist. Sie steckt ausgerechnet in der Wiederherstellungsfunktion.
Was die Lücke erlaubt
Beim Einspielen einer Sicherung setzt das Plugin Datenbankabfragen aus Angaben zusammen, die es nicht ausreichend prüft. Ein Angreifer kann darum eigene Abfragen anhängen und die Datenbank auslesen. Besonders unangenehm: Auf diesem Weg lässt sich ein interner Schlüssel des Plugins abgreifen — und mit dem in der Hand rückt die Ausführung eigenen Programmcodes in Reichweite.
Wichtig für die Einschätzung ist, wer das ausnutzen kann. Es braucht ein angemeldetes Konto, aber nur eines mit niedrigen Rechten. Auf einer reinen Firmenwebsite mit drei Redaktionskonten ist das eine hohe Hürde. Auf einem Webshop oder in einem Mitgliederbereich, wo sich jeder selbst registrieren kann, ist es keine.
Betroffen sind alle Fassungen bis einschliesslich 7.109. Die aktuelle Fassung ist 7.110.
Der Teil, über den kaum jemand schreibt
Wer nun im Verwaltungsbereich nachsieht, warum er aktualisieren soll, findet im Änderungsprotokoll von 7.110 zwei Einträge: eine Korrektur bei der Suchen-und-Ersetzen-Funktion und eine falsche Warnmeldung beim Verlassen der Seite. Von einer Sicherheitskorrektur steht dort kein Wort.
Das ist kein Vorwurf an den Hersteller — es ist üblich, eine Lücke erst zu schliessen und dann bekanntzugeben. Für den Betreiber heisst es aber: Sie können einem Update nicht ansehen, wie dringend es ist. Wer nach der Devise verfährt «Sicherheitsupdates sofort, Fehlerkorrekturen bei Gelegenheit», trifft die Entscheidung auf einer Grundlage, die schlicht nicht stimmt.
Und der Teil, der über dieses Plugin hinausgeht
Ein Umzugswerkzeug braucht man einmal. Man installiert es für den Wechsel, schiebt die Website hinüber, freut sich, dass es geklappt hat — und deinstalliert es nie.
Danach sitzt es jahrelang auf der Website. Es tut nichts, es fällt niemandem auf, es taucht in keiner Besprechung auf. Aber es ist da, es wird mitgeladen, und jede Lücke, die künftig darin gefunden wird, ist Ihre Lücke.
Dieselbe Sorte finden wir bei Kundenübernahmen regelmässig: das Wartungsmodus-Plugin von der Erstellung, der Datenbank-Aufräumer von der einen grossen Aktion, das Import-Werkzeug für die alten Beiträge, der Duplikator vom Testsystem. Jedes davon war einmal richtig. Keines davon wird noch gebraucht.
Was zu tun ist
Wenn Sie All-in-One WP Migration einsetzen: auf 7.110 aktualisieren.
Und dann die Frage stellen, die wichtiger ist: Steht bei Ihnen ein Umzug an? Wenn nein, gehört das Plugin nicht aktualisiert, sondern deaktiviert und gelöscht. Ihre Sicherungen macht es ohnehin nicht — dafür braucht es ein Verfahren, das ohne Klick im Verwaltungsbereich läuft und das regelmässig geprüft wird.
Gehen Sie bei der Gelegenheit die Plugin-Liste einmal von oben nach unten durch. Bei allem, was Sie nicht binnen zehn Sekunden erklären können, lautet die Antwort meistens: weg damit. Ein gelöschtes Plugin bekommt keine Lücken.
Bei den Websites in unserer Wartung machen wir genau das. Und wenn tatsächlich ein Umzug ansteht: Was dabei der Reihe nach zu tun ist, steht in unserer Checkliste für die Migration.