Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (01.06.2017):
Debian veröffentlicht für die stabile Distribution Jessie ein
Backport-Sicherheitsupdate für WordPress und für die zukünftig stabile
Version Stretch die WordPress Version 4.7.5 als Sicherheitsupdate. Debian
behebt darin zusätzlich die Schwachstelle CVE-2017-8295, welche vom
Hersteller derzeit noch nicht offiziell mit einer Version adressiert wird,
indem es den in der WordPress Bug Id 25239 (Referenz anbei) erwähnten
Patch als Fehlerbehebung in das ‘wordpress’-Paket für Debian Linux
integriert. Die Schwachstelle ermöglicht es einem entfernten, nicht
authentisierten Angreifer, eine präparierte Anforderung zum Zurücksetzen
des Passworts an ein System zu senden, wodurch der ‘Reset-Key’ an einen
vom Angreifer kontrollierten SMTP-Server versendet wird und dieser so die
Kontrolle über ein WordPress-Benutzerkonto übernehmen kann. Für diese
Schwachstelle existiert ein öffentlich bekannter Exploit, keiner der in
der Bug-Referenz angegebenen Patches wird von den Entwicklern als
vollständig angesehen.
Version 1 (17.05.2017):
Neues Advisory
Betroffene Software:
WordPress < 4.7.5 Betroffene Plattformen: Apple Mac OS X macOS Sierra Debian Linux 8.8 Jessie Debian Linux 9.0 Stretch GNU/Linux Microsoft Windows Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen in WordPress ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung eines Cross-Site-Request-Forgery (CSRF)- und Open-Redirect-Angriffs sowie die Durchführung verschiedener Cross-Site-Scripting- (XSS) und weiterer nicht spezifizierter Angriffe. Der Hersteller veröffentlicht die WordPress Version 4.7.5 zur Behebung der Schwachstellen. Das 'Security and Maintenance Release' beinhaltet zusätzlich drei Fehlerkorrekturen. Der Hersteller empfiehlt die zügige Aktivierung des Sicherheitsupdates. Für Fedora 24, 25 und 26 sowie Fedora EPEL 6 und EPEL 7 stehen Sicherheitsupdates auf die WordPress Version 4.7.5 zur Verfügung, die sich allerdings noch im Status 'pending' befinden. Patch: Fedora Security Update FEDORA-2017-46fcfd8c98 (Fedora 24, wordpress-4.7.5-1) https://bodhi.fedoraproject.org/updates/FEDORA-2017-46fcfd8c98
Patch:
Fedora Security Update FEDORA-2017-d968f5a95f (Fedora 25, wordpress-4.7.5-1)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-d968f5a95f
Patch:
Fedora Security Update FEDORA-2017-fe7c3c9c30 (Fedora 26, wordpress-4.7.5-1)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-fe7c3c9c30
Patch:
Fedora Security Update FEDORA-EPEL-2017-8ac986eb16 (Fedora EPEL 6,
wordpress-4.7.5-1)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-8ac986eb16
Patch:
Fedora Security Update FEDORA-EPEL-2017-a9209fb240 (Fedora EPEL 7,
wordpress-4.7.5-1)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-a9209fb240
Patch:
Debian Security Advisory DSA-3870-1
https://www.debian.org/security/2017/dsa-3870
CVE-2017-9066: Schwachstelle in WordPress ermöglicht Open-Redirect-Angriff
Aufgrund der unzureichenden Validierung von Weiterleitungen in der
HTTP-Klasse besteht eine Schwachstelle in WordPress, die es ermöglicht,
Benutzer des Systems auf beliebige externe Webseiten umzuleiten. Diese
Schwachstelle kann als Ausgangspunkt für die Durchführung von
Phishing-Angriffen ausgenutzt werden. Ein entfernter, nicht authentisierter
Angreifer kann einen Open-Redirect-Angriff durchführen.
CVE-2017-9065: Schwachstelle in WordPress ermöglicht nicht spezifizierten
Angriff
Aufgrund der mangelhaften Überprüfung von Rechten (Capabilities) in Bezug
auf ‘Post Meta Data’ in der XML-RPC API besteht eine nicht näher
beschriebene Schwachstelle in WordPress. Diese ermöglicht es einem
entfernten, nicht authentisierten Angreifer nicht spezifizierte Angriffe
durchzuführen. Möglicherweise kann der Angreifer die Schwachstelle
ausnutzen, um seine Privilegien zu eskalieren.
CVE-2017-9064: Schwachstelle in WordPress ermöglicht
Cross-Site-Request-Forgery-Angriff
In WordPress besteht eine nicht näher beschriebene Schwachstelle im
Anmeldeinformations-Dialog für den Zugriff auf das Dateisystem, die es einem
entfernten, nicht authentisierten Angreifer ermöglicht, einen
Cross-Site-Request-Forgery-Angriff durchzuführen.
CVE-2017-9063: Schwachstelle in WordPress ermöglicht
Cross-Site-Scripting-Angriff
In WordPress besteht eine nicht näher beschriebene
Cross-Site-Scripting-Schwachstelle, die im Zusammenhang mit dem ‘Customizer’
steht. Ein entfernter, nicht authentisierter Angreifer kann einen
Cross-Site-Scripting-Angriff durchzuführen.
CVE-2017-9062: Schwachstelle in WordPress ermöglicht nicht spezifizierten
Angriff
Aufgrund der unsachgemäßen Behandlung von ‘Post Meta Data’-Werten in der
XML-RPC API besteht eine nicht näher beschriebene Schwachstelle in
WordPress. Diese ermöglicht es einem entfernten, nicht authentisierten
Angreifer nicht spezifizierte Angriffe durchzuführen. Der Abschnitt ‘Post
Meta Data’ kann beliebige Daten enthalten, die üblicherweise administrativer
Natur sind. Denkbar wäre es, dass falsche Informationen über den Autor, das
Erstellungsdatum eines Beitrags oder die zugehörige Kategorie dargestellt
werden können, indem die Werte speziell manipuliert werden.
CVE-2017-9061: Schwachstelle in WordPress ermöglicht
Cross-Site-Scripting-Angriff
In WordPress besteht eine nicht näher beschriebene Schwachstelle, die
auftritt, wenn ein Angreifer eine sehr große Datei hochlädt. Ein entfernter,
nicht authentisierter Angreifer kann einen Cross-Site-Scripting-Angriff
durchzuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0859/
Fedora Security Update FEDORA-2017-46fcfd8c98 (Fedora 24, wordpress-4.7.5-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-46fcfd8c98
Fedora Security Update FEDORA-2017-d968f5a95f (Fedora 25, wordpress-4.7.5-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-d968f5a95f
Fedora Security Update FEDORA-2017-fe7c3c9c30 (Fedora 26, wordpress-4.7.5-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-fe7c3c9c30
Fedora Security Update FEDORA-EPEL-2017-8ac986eb16 (Fedora EPEL 6,
wordpress-4.7.5-1):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-8ac986eb16
Fedora Security Update FEDORA-EPEL-2017-a9209fb240 (Fedora EPEL 7,
wordpress-4.7.5-1):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-a9209fb240
WordPress 4.7.5 Security and Maintenance Release:
https://wordpress.org/news/2017/05/wordpress-4-7-5/
Debian Security Advisory DSA-3870-1:
https://www.debian.org/security/2017/dsa-3870
WordPress Bug #25239: $_SERVER[‘SERVER_NAME’] not a reliable when generating
email host names :
https://core.trac.wordpress.org/ticket/25239
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
