Dringendes Update: Schwere Sicherheitslücke in Limit Login Attempts – 600.000 betroffene Websites

Die Sicherheit Ihrer Website sollte immer eine Priorität sein. Am 26. Januar 2023 wurde eine schwerwiegende Sicherheitslücke im WordPress-Plugin „Limit Login Attempts“ bekannt, die mehr als 600.000 Websites betrifft. In diesem Beitrag erfahren Sie alles Wichtige über die Sicherheitslücke, wie sie behoben werden kann und welche Schritte Sie unternehmen müssen, um Ihre Website zu schützen.

Hintergrund:

Das WordPress-Plugin „Limit Login Attempts“ bietet Website-Besitzern die Möglichkeit, IP-Adressen zu blockieren, die wiederholt fehlgeschlagene Anmeldeversuche durchführen. Das Wordfence-Team hat am 26. Januar 2023 eine nicht-authentifizierte gespeicherte Cross-Site-Scripting-Sicherheitslücke in diesem Plugin verantwortungsbewusst offengelegt. Die betroffenen Versionen sind alle bis einschließlich Version 1.7.1.

Die Sicherheitslücke:

Die Sicherheitslücke, die als CVE-2023-1912 identifiziert wurde, betrifft Websites, die das Plugin in einer bestimmten Konfiguration verwenden: Die Site-Verbindungsoption muss auf „Von hinter einem reversy [sic] Proxy“ eingestellt sein, und die Protokollierung von IP-Adressen bei Sperrung muss aktiviert sein. In dieser Konfiguration verwendet das Plugin den X-Forwarded-For-Header, um die IP-Adresse des Besuchers zu ermitteln. Dieser HTTP-Header kann jedoch gefälscht werden, und das Plugin verwendet diese Einstellung nicht standardmäßig.

Mit der Protokollierungsfunktion des Plugins werden Sperrungen protokolliert und auf der Konfigurationsseite angezeigt. Leider wurden die gespeicherten IP-Werte, die über den X-Forwarded-For-Header geliefert werden können, weder sanitisiert noch escaped. Dies ermöglicht Angreifern, bösartigen JavaScript-Code auszuführen, wenn ein Administrator die Konfigurationsseite besucht, auf der die Liste der gesperrten IP-Adressen angezeigt wird.

Lösung:

Ein Patch, der diese Sicherheitslücke behebt, wurde am 4. April 2023 als Version 1.7.2 veröffentlicht. Es ist dringend empfohlen, das Limit Login Attempts Plugin auf die neueste Version 1.7.2 zu aktualisieren. Für alle Wordfence Premium, Wordfence Care und Wordfence Response Kunden, sowie Nutzer der kostenlosen Version des Plugins, besteht bereits Schutz durch die Wordfence Firewall gegen jegliche Exploits, die auf diese Sicherheitslücke abzielen.