WordPress-Plug-in LiteSpeed Cache erneut angreifbar

Angreifer können an einer Schwachstelle im weit verbreiteten WordPress-Plug-in LiteSpeed Cache ansetzen und sich im schlimmsten Fall als Admin Zugriff auf Websites verschaffen. Eine dagegen abgesicherte Version ist verfügbar.

Admin-Attacke

Vor der Lücke (CVE-2024-44000, CVSS 9.8, Risiko "kritisch") warnen Sicherheitsforscher von Patchstack in einem Beitrag. Das Plug-in soll das Laden von Websites beschleunigen. Derzeit ist es der WordPress-Plug-in-Website zufolge auf mehr als 6 Millionen mit dem CMS erstellten Websites installiert.

Das Sicherheitsproblem ist, dass das Debug-Logging-Feature alle HTTP-Anfragen inklusive Session Cookies loggt. Daran können Angreifer den Forschern zufolge ansetzen, um sich etwa Zugriff auf ein Admin-Konto zu verschaffen. In so einer Position können Angreifer Websites vollständig kompromittieren.

Voraussetzung für so eine Attacke ist, dass die Debug-Funktion aktiv ist und die Datei debug.log nicht gelöscht wurde. Ob das Feature standardmäßig aktiv ist, geht aus der Beschreibung der Forscher nicht hervor. Die Entwickler geben an, die Lücke in LiteSpeed Cache 6.5.0.1 geschlossen zu haben.

Nicht das erste Mal

Erst kürzlich sorgte eine "kritische" Schwachstelle (CVE-2024-28000) im Plug-in für Schlagzeilen. An dieser Stelle konnten Angreifer User-IDs fälschen, um sich so administrativen Zugriff auf Websites zu verschaffen. Ob es bereits Attacken auf die Lücken gibt, ist derzeit nicht bekannt. Unbekannt ist derzeit auch, wie Admins bereits erfolgte Attacken erkennen können. Es liegt aber nahe, dass Admins nach ihnen unbekannten Admin-Accounts Ausschau halten sollten und diese löschen.

(des)