CERT-Bund Meldung
-----------------

KURZINFO CB-K13/1091
Titel: Wordpress: Eine Schwachstelle ermöglicht das
Ausführen beliebigen Programmcodes mit den Rechten
des Dienstes
Datum: 30.12.2013
Software: Wordpress
Plattform: Wordpress
Auswirkung: Ausführen beliebigen Programmcodes mit den Rechten
des Dienstes
Remoteangriff: Ja
Risiko: hoch
Bezug: http://web.nvd.nist.gov/view/vuln/detail...-2013-7102

BESCHREIBUNG
WordPress ist ein weit verbreitetes Content Management System für
Web-Blogs.

Eine Schwachstelle beim Hochladen von Dateien in OptimizePress 1.x
ermöglicht einem entfernten, nicht authentifizierten Angreifer beliebige
Dateien mit den Rechten des Dienstes auszuführen.

[1] Schwachstelle CVE-2013-7102 (NVD)
<http://web.nvd.nist.gov/view/vuln/detail...-2013-7102>
[2] WordPress OptimizePress Theme - Schwachstelle beim Laden von Dateien
<http://seclists.org/fulldisclosure/2013/Dec/127>
[3] WordPress OptimizePress Update Information
<http://help.optimizepress.com/hc/en-us/a...my-content>




Mit freundlichen Grüßen
das Team CERT-Bund

--------------------------------------------
Bundesamt für Sicherheit in der Informationstechnik (BSI)
Referat C 21
Godesberger Allee 185 -189
53175 Bonn

Postfach 20 03 63
53133 Bonn

Telefon:

+49 (0)228 99 9582 222
Telefax:

+49 (0)228 99 9582 5427
E-Mail: wid-kontakt@bsi.bund.de
Internet: www.cert-bund.de

--------------------------------------------

Die Authentizität dieser Nachricht kann anhand der digitalen Signatur überprüft werden. Die hierfür zum Einsatz kommenden öffentlichen Schlüssel sowie die Verfahren sind auf den Seiten des CERT-Bund https://www.cert-bund.de/wid-sig aufgeführt und erläutert.

Die Inhalte dieser CERT-Bund Kurzinfo repräsentieren den Kenntnisstand des BSI zum Zeitpunkt der Versendung. Eine Haftung für eventuelle Schäden oder Konsequenzen, die durch die direkte oder indirekte Nutzung der Inhalte entstehen, wird, außer für die Fälle der Verletzung von Leben, Körper und Gesundheit sowie von Vorsatz oder grober Fahrlässigkeit, ausgeschlossen.

Die CERT-Bund Kurzinfos dürfen nur kopiert und weitergegeben werden, wenn dies im vollständigen Wortlaut, ohne Änderungen und mit BSI-Copyright-Informationen geschieht.

Für die Versionen 6 + 7 des Content-Managment-System Drupal stehen Updates zur Verfügung die schnellstmöglich installiert werden sollten.
Es besteht ansonsten die Gefahr, dass Angreifer bekannte Sicherheitsücken ausnutzen. Die Updates tragen die
Versionsnummern 6.29 respektive 7.24 und stehen auf der Drupal-Seite zum Download bereit.

Eine Liste mir den bekannten Sicherheitslücken findet ihr hier

Sehr geehrte Damen, sehr geehrte Herren,

neben zahlreichen Fehlerbereinigungen wurde mit Roundcube 0.9.5. eine bekannt
gewordenen Sicherheitslücke geschlossen.
Roundcube wurde auf
sämtlichen Serversystemen auf die Version 0.9.5 gebracht

Interessierte finden das Changelog hier

Verschiedene Schwachstellen erleichtern auch nicht authentisierten Angreifern die Durchführung von Angriffen auf Benutzer der Anwendung. Insbesondere werden hochgeladene Dateien unzureichend gefiltert oder bestimmte kritische Dateitypen werden nicht abgelehnt.

Kunden die Wordpress einsetzten sollten Ihre Installation schnellstmöglich auf die Version 3.6.1 bringen.

Interessierte Kunden finden wie immer auf ein Changelog

Sehr geehrte Damen, sehr geehrte Herren,

wegen einer bekannt gewordenen Sicherheitslücke vor Version 0.9.4 wurde Roundcube auf sämtlichen Serversystemen auf die Version 0.9.4 gebracht

Interessierte finden das Changelog hier

WordPress ist ein PHP basiertes Open Source Blog-System.

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in WordPress ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen oder Informationen einzusehen.

Unter http://blog.wpde.org/ wurde das Problem bereits bestätigt und die Version 3.5.2 zum Download berietgestellt, die entsprechende Schwachstellen beheben soll.

Es wird dringend empfohlen ein entsprechende Update zu veranlassen sofern Sie WordPress einsetzen.

Downloadlink: http://wordpress.org/news/2013/06/wordpress-3-5-2/

Sehr geehrte Damen, sehr geehrte Herren,

Roundcube wurde auf sämtlichen Serversystemen auf die Version 0.9.2 gebracht

Interessierte finden das Changelog hier

Derzeit finden offensichtlich weltweit vermehrt Angriffe auf Installationen des Content
Management Systems Wordpress statt.

Ziel ist es hierbei, mittels Brute-Force-Attacke den Zugang zum Adminbereich zu
erlangen. Damit werden weitere schädliche Aktionen ausgeführt, wie
z.B. massenhafter Spamversand, Angriffe gegen andere Webseiten, Anzeige
von Betrugsseiten sowie die Verbreitung von Trojanern und Viren.

WICHTIG:

Betreiber von Wordpress sollten schnellst möglich dafür sorgen, keine einfachen
Passwörter zu verwenden. Zudem ist sehr empfohlen, als Benutzernamen für
den Administrator nicht den vorgegebenen Wert "admin" zu verwenden.
Prüfen Sie zudem, ob Ihnen unbekannte neue Benutzer angelegt wurden und
entfernen Sie diese umgehend.

Nähere Informationen können Sie den Artikeln der Fachpresse z.B. unter
http://www.golem.de/news/security-angrif...98730.html

entnehmen.

Sehr geehrte Damen und Herren, verehrte ok-webhosting Kunden,

das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist Internetnutzer auf eine bisher unbekannte, kritische Schwachstelle im
Browser Microsoft Internet Explorer hin. Betroffen sind IT-Systeme, die den Internet Explorer in den Versionen 6, 7, 8 oder 9 unter den
Betriebssystemen Microsoft Windows XP, Microsoft Windows Vista oder Microsoft Windows 7 verwenden.

Die Schwachstelle wird bereits in gezielten Angriffen ausgenutzt!!!

Zudem ist der Angriffscode auch frei im Internet verfügbar, sodass mit einer breitflächigen Ausnutzung rasch zu rechnen ist. Um die Schwachstelle auszunutzen reicht es aus, den Internetnutzer auf eine präparierte Webseite zu locken. Beim Anzeigen dieser Webseite kann dann durch Ausnutzen der Schwachstelle beliebiger Code auf dem betroffenen System mit den Rechten des Nutzers ausgeführt werden.

Ein Sicherheitsupdate des Herstellers ist derzeit nicht verfügbar.

Daher empfiehlt das BSI allen Nutzern des Internet Explorers, so lange einen alternativen Browser für die Internetnutzung zu verwenden, bis der
Hersteller ein Sicherheitsupdate zur Verfügung gestellt hat. Das BSI steht bezüglich einer Lösung zur Schließung der Schwachstelle mit
Microsoft in Verbindung. Sobald die Sicherheitslücke geschlossen ist, wird das BSI darüber informieren.

Quelle: https://www.bsi.bund.de (https://www.bsi.bund.de/ContentBSI/Press...92012.html)

Ein entfernter, anonymer oder entfernter, authentisierter Angreifer kann mehrere Schwachstellen in TYPO3 ausnutzen, um beliebigen Code mit den Rechten des Dienstes auszuführen, um einen Cross-Site Scripting Angriff durchzuführen oder um Informationen offenzulegen.

Weitere Infos:

http://typo3.org/teams/security/security...-2012-004/