Wordpress-Plug-in: Kritische Lücke in Learnpress auf 75.000 Webseiten

Im Wordpress-Plug-in Learnpress haben IT-Sicherheitsforscher mehrere kritische Sicherheitslücken entdeckt. Die Plug-in-Entwickler haben inzwischen ein Update veröffentlicht, das jedoch bislang lediglich etwa 25 Prozent der Nutzerinnen und Nutzer installiert haben. Dadurch sind noch rund 75.000 Webseiten für weitreichende Angriffe anfällig, durch die Angreifer aus dem Netz ohne Anmeldung Befehle in die SQL-Datenbank einschleusen und so das System vollständig kompromittieren könnten.

Wordpress-Plug-in: Drei kritische Schwachstellen

IT-Forscher von Patchstack haben zwischen Ende November und Anfang Dezember des vergangenen Jahres insgesamt drei kritische Sicherheitslecks in Learnpress entdeckt. Das Plug-in kommt auf mehr als 100.000 aktive Installationen und dient dazu, Online-Kurse zu erstellen und anzubieten. Es kann Lernmaterialen ausspielen und auch integriert ein Test-System etwa zum Abprüfen des Erlernten.

Die von den IT-Analytikern gefundenen Schwachstellen ermöglichen es jedem nicht authentifizierten Benutzer, eine SQL-Abfrage in die Datenbank einzuschleusen und lokale Dateien einzubinden. Die Patchstack-Mitarbeiter haben außerdem eine weitere SQL-Injection-Lücke gefunden, für deren Ausnutzung ein Angreifer jedoch mindestens die Rolle "Contributor" innehaben müsste.

Die gravierendste Lücke ist eine SQL Injection-Schwachstelle. Sie könnte es böswilligen Akteuren aus dem Netz ohne vorherige Anmeldung ermöglichen, direkt mit der Datenbank zu interagieren und so etwa neue Konten wie einen weiteren Administrator-Zugang zu erstellen oder unbefugt Informationen auszulesen (CVE-2022-45808, CVSS 9.9, Risiko "kritisch"). Eine weitere Schwachstelle erlaubt es Angreifern, lokale Dateien einzubinden und deren Ausgabe auf dem Bildschirm anzuzeigen. Als Beispiel erläutern die IT-Forscher, dass Dateien, die (Datenbank-)Anmeldeinformationen speichern, möglicherweise eine vollständige Übernahme der Datenbank ermöglichen könnten (CVE-2022-47615, CVSS 9.3, kritisch).

Eine weitere SQL-Injection-Schwachstelle hat dieselbe Auswirkung wie die erste, Angreifer müssen dafür jedoch mindestens Mitglieder der Gruppe "Contributor" sein (CVE-2022-45820, CVSS 9.1, kritisch), wie Patchstack in einer Sicherheitsmeldung erläutert.

Mehrere zehntausend Installationen angreifbar

Die Schwachstellen haben die Learnpress-Entwickler in Version 4.2.0 des Plug-ins behoben, das sie kurz vor Weihnachten veröffentlicht haben. Der Wordpress-Statistik-Webseite zu Learnpress zufolge sind jedoch bisher lediglich gut 25 Prozent der Installationen auf dem abgesicherten Stand. Die restlichen knapp 74 Prozent der mehr als 100.000 aktiven Installationen nutzen noch eine ältere und verwundbare Software-Fassung.

Bei allen Lücken schreiben die Entdecker, dass bislang noch keine Fälle bekannt sind, in denen sie missbraucht wurden. Das sollte jedoch Administratorinnen und Administratoren von Wordpress-Instanzen mit dem Learnpress-Plug-in nicht davon abhalten, so schnell wie möglich die bereitstehende Aktualisierung zu installieren. Cyberkriminelle könnten den Missbrauch dieser Lücken schon in Kürze in ihren Werkzeugkasten aufnehmen. Wordpress-Instanzen werden oftmals schon während der Installation angegriffen.

(dmk)