Sicherheitsupdate für WordPress-Plugin „WP Fastest Cache“

Das Plugin WP Fastest Cache verkürzt die Ladezeiten von Websites mit dem beliebten Content Management System (CMS) WordPress, bot aber Angriffsmöglichkeiten für Cross-Site-Scripting (XSS) und SQL Injection. Deshalb gibt es jetzt für die mehr als eine Million Nutzer des Cache-Plugins ein Update zum Download: WP Fastest Cache 0.9.5 entschärft die in allen früheren Versionen vorhandenen Sicherheitsprobleme. Wer das Plugin nutzt und noch nicht aktualisiert hat, sollte das jetzt möglichst bald nachholen. Die Entdecker der Sicherheitslücken stufen das Risiko als "hoch" bis "kritisch" ein. Die abgesicherte neue Version steht seit letzter Woche auf der Download-Site von WP Fastest Cache zum kostenlosen Download bereit. Zwei Wege zum unbefugten Zugriff In einem Blogeintrag der Firma Jetpack finden sich Details zu den beiden Schwachstellen, die interessanterweise ein und dieselbe CVE-ID (CVE-2021-24869), aber unterschiedliche Beschreibungen und CVSS-Scores (7.7/"High" bzw. 9.6/"Critical") haben. Der Score 7.7 bezieht sich auf eine SQL-Injection-Lücke, die aber nur unter bestimmten Voraussetzungen genutzt werden kann: Der Angreifer muss als "normaler" Nutzer angemeldet sein und in der angegriffenen WP-Installation muss gleichzeitig auch das Plugin "Classic Editor" installiert sein. Wenn diese Voraussetzungen vorliegen, ist das Abgreifen sensibler Daten wie etwa Nutzernamen in Kombination mit Passwort-Hashes möglich. Die zweite, mit 9.6 bewertete Angriffsmöglichkeit besteht auch ohne diese Einschränkungen, braucht dafür aber eine Nutzerinteraktion mit der Website: Im Rahmen eines sogenannten Cross-Site-Request-Forgery-Angriffs [...]

2021-10-19T07:08:12+02:00Oktober 19th, 2021|Coding, PHP, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdate für WordPress-Plugin „WP Fastest Cache“
Weiterlesen

Vivaldi 2.10 verbirgt seinen User Agent String

Soeben ist das letzte Vivaldi-Update im Jahr 2019 erschienen: Mit Vivaldi 2.10 wird vor allem die Web-Kompatibilität des alternativen Browsers verbessert. Vivaldi sollte ja eigentlich mit allen Websites vernünftig arbeiten und sie fehlerfrei anzeigen, denn auch dieser Browser basiert auf der v-Engine. Aber trotzdem seien viel zu oft Probleme mit "inkompatiblen Websites" aufgetreten. Der Grund für entsprechende Warnhinweise ist der "User Agent": Vivaldi gibt sich gegenüber den Websites bisher über diesen String als solcher zu erkennen, und wird daher gelegentlich wegen angeblicher Kompatibilitätsprobleme schlicht blockiert. Damit wollen die Seitenbetreiber wohl sicherstellen, dass ihr Angebot mit einem bestimmten Browser aufgerufen wird, mit dem es einwandfrei funktioniert. Denn viele Seitenbauer denken zwar beim Erstellen ihrer Sites an Google Chrome, lassen dabei aber Browser Vivaldi, Opera & Co., die ebenfalls den Chrome-Unterbau verwenden und Websites ähnlich rendern, einfach links liegen. Häufiger geschehe diese Browser-Blockierung durch "Mitbewerber, Rivalen und mächtige Tech-Firmen", meint erklärte Vivaldi-Chef Jon von Tetzchner. "Browser im Jahr 2019 zu blockieren, hat keine technischen Vorteile mehr, und hatte es nie". Deshalb verbirgt Vivaldi jetzt den User-Agent Um zu erreichen, dass Vivaldi-Nutzer keine Warnhinweise mehr sehen, die ihren Browser bemängeln, haben sich die Entwickler jetzt zu diesem Schritt entschlossen. In Version 2.10 taucht das Wort "Vivaldi" nicht mehr als "User Agent" [...]

2019-12-19T13:03:27+02:00Dezember 19th, 2019|Browser, Coding, Webwerkzeuge|Kommentare deaktiviert für Vivaldi 2.10 verbirgt seinen User Agent String
Weiterlesen

Viele Drupal-Websites sind immer noch verwundbar

Man mag es kaum glauben, aber noch immer gibt es über 100.000 auf dem CMS Drupal basierende Websites, die über eine lange bekannte kritische Sicherheitslücke, über die wir auch schon vor über zwei Monaten berichtet haben, angreifbar sind. Sicherheitsupdates gegen die Schwachstelle sind seit über zwei Monaten verfügbar. In diesen Tagen sind Sicherheitsforscher von Bad Pockets Report auf über 115.000 Drupal-Websites gestoßen, die anfällig für Angriffe über die kritische Sicherheitslücke CVE-2018-7600 sind, wie sie in einem Blogeintrag berichten. Die Schwachstelle ist schon seit Ende März bekannt, und zu diesem Zeitpunkt erschienen auch Sicherheitspatches gegen das Problem. Nach eigenen Angaben haben die Sicherheitsforscher eine halbe Million Drupal-Webseiten untersucht, die die Version 7 des Content Management Systems (CMS) nutzen. Davon war noch etwa ein Viertel über CVE-2018-7600 verwundbar. Rund ein Drittel hatten bereits eine abgesicherte Version installiert. Bei 47 Prozent der Websites konnten die Sicherheitsforscher die genutzte Drupal-Version nicht ermitteln. Updates schon seit Ende März verfügbar Erwartungsgemäß kam es nach der Veröffentlichung von Details zur Lücke  zu  ersten Angriffen,was unter anderem eine Webseite von des Computerherstellers Lenovo traf. Die Schwachstelle gibt es sowohl in Drupal 7.x als auch in Drupal 8.x. Die Ausgaben ab 7.58 und 8.5.1 sind schon abgesichert. Wegen der Schwere der Sicherheitslücke bekommen selbst die eigentlich nicht mehr [...]

2018-06-05T18:55:40+02:00Juni 5th, 2018|Allgemein, Coding, Javascript, PHP, Webwerkzeuge|Kommentare deaktiviert für Viele Drupal-Websites sind immer noch verwundbar
Weiterlesen

Browser Chrome sieht HTTPS als Standard

Googles Browser Chrome setzt künftig voraus, dass die Verschlüsselung von Internetseiten mit sicherem HTTP (HTTPS) als Standard angesehen werden kann. Es beginnt mit Chrome 69... Deshalb markiert der Browser  solche Seiten in Zukunft nicht mehr mit dem grünen Schloss und dem Wort „Sicher“ in der Adressleiste. Diese Änderung soll mit der Einführung von Chrome 69 im September eingeführt werden. HTTP-Seiten ohne Verschlüsselung kennzeichnet Chrome zurzeit nur mit einem grauen Ausrufungszeichen. Ab der Version 68, die im Juli veröffentlicht werden soll, erscheint neben dem Ausrufungszeichen zusätzlich der Hinweis „Unsicher“ gegeben werden. …und geht mit Chrome 70 weiter Mit Chrome 70, der für Oktober geplant ist, soll die Warnung weiter verschärft werden. Dann soll bei allen Texteingaben in unverschlüsselte Websites die Farbe der Verschlüsselungs-Warnung von Grau nach Rot wechseln und das Ausrufezeichen gegen ein rotes Warndreieck ausgetauscht werden. Kostenlose und günstige SSL-Zertifikate Heutzutage sind Zertifikate für die Verschlüsselung von Websites schon bei so manchen Anbietern schon fester Bestandteil von Hostingpaketen. Außerdem bietet unter anderem die Non-Profit-Organisation Internet Security Research Group mit ihrer Initiative Let’s Encrypt kostenlose SSL-Zertifikate an. Schon länger setzt sich Google für die standardmäßige Verschlüsselung des Datenverkehrs zwischen Browser und Webserver ein. Um die Verbreitung von HTTPS-Websites zu erhöhen, werden sie schon seit mehreren Jahren in [...]

2018-05-22T16:40:00+02:00Mai 22nd, 2018|Browser, HTML, Webwerkzeuge|Kommentare deaktiviert für Browser Chrome sieht HTTPS als Standard
Weiterlesen

Bessere Videos mit Firefox 49

Mozilla hat seinen Browser soeben auf die Version 49 aktualisiert. Die neue Version verbessert die Videowiedergabe auf allen Systemen, die die Befehlssatzerweiterung SSE3 unterstützen, aber keine Hardwarebeschleunigung anbieten. Deshalb wurde das Kontextmenü um Kontrollelemente für HTML-5-Audio und –Video ergänzt. Die Benutzer können Mediendateien jetzt in einer Schleife wiedergeben oder die Wiedergabegeschwindigkeit erhöhen. Hinzu kommt ein wichtiges Update für den Login Manager des Browsers. Der ist jetzt in der Lage, Nutzer bei mit sicherem HTTPS verschlüsselten Websites anzumelden, auch wenn die Anmeldedaten schon gespeichert wurden, als die fragliche Seite noch keine Verschlüsselung aufwies. Für Seitenbetreiber will Mozilla so das Projekt Let’s Encrypt stützen, in dessen Rahmen diese kostenlose Zertifikate erhalten und durch die Verschlüsselung des Datenverkehrs zwischen Browser und Websites die Privatsphäre und Sicherheit der Besucher verbessern können.

2016-09-21T11:05:10+02:00September 21st, 2016|CSS, HTML, Javascript|Kommentare deaktiviert für Bessere Videos mit Firefox 49
Weiterlesen

Sicherheitstest für Internetseiten von Mozilla

Unter der Bezeichnung Observatory bietet die Mozilla Foundation, der Hersteller des Browsers Firefox, einen Sicherheits-Check für beliebige Websites an. Nach der Eingabe der Domainadresse und einiger Optionen bekommt man in wenigen Sekunden die sicherheitsrelevanten Konfigurationsdaten der Site angezeigt. Zu den auf korrekte Implementierung untersuchten Verfahren gehören fast alle, die als Reaktion auf bekannt gewordene Sicherheitsprobleme implementiert wurden - von Content Security Policy über Cross-origin Resource Sharing und HTTP Public Key Pinning bis zu HTTP Strict Transport Security und X-XSS-Protection. Nicht geprüft wird dabei auf Probleme im Code wie beispielsweise auf SQL-Injection-Anfälligkeit. In den Dienst fließen nach Angaben von Mozilla Erfahrungen ein, die man beim Firefox-Hersteller bei der Untersuchung von Millionen von Internetseiten gemacht hat, wobei oft erschreckende Lücken aufgedeckt worden seien – nicht nur bei fremden Internetseiten, sondern auch im eigenen Haus, beispielsweise bei addons.mozilla.org. Wer für die Pflege oder die Sicherheit einer Internetseite verantwortlich ist, sollte das Tool durchaus einmal laufen lassen – es könnte Sicherheitslücken aufdecken, bevor das böswillige Kriminelle tun…

2016-08-27T18:07:16+02:00August 27th, 2016|Allgemein, test|Kommentare deaktiviert für Sicherheitstest für Internetseiten von Mozilla
Weiterlesen

Angriffe über http.sys auf Windows-Server

Eine Sicherheitslücke erlaubt sogar die Remotecodeausführung, wenn ein Angreifer eine spezielle HTTP-Anforderung an ein betroffenes Windows-System sendet. Die Lücke hat in der National Vulnerability Database (NVD) die Kennung CVE-2015-1635. Im seinem Security Bulletin MS15-034 beschreibt Microsoft diese kritische Schwachstelle als Sicherheitsproblem in HTTP.sys, einer im IIS genutzten Komponente. Diverse Honeypot-Fallen zeigen den Sicherheitsexperten, dass die Lücke schon aktiv ausgenutzt wird, allerdings bis jetzt in den meisten Fällen nur für DoS-Angriffe und noch nicht zur Remotecode-Ausführung. Ein von Microsoft schon bereitgestelltes Sicherheitupdate behebt das Problem, indem es die Verarbeitung der Anforderungen durch den HTTP-Stack von Windows modifiziert. Dies Update sollten Sie als Admin von Internetservern unter Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 sowie Windows Server dringend einspielen.

2015-04-18T17:03:37+02:00April 18th, 2015|Allgemein, Webwerkzeuge|Kommentare deaktiviert für Angriffe über http.sys auf Windows-Server
Weiterlesen
Nach oben