Sicherheitslücke: WordPress < 5.7.1 updaten

Liebe Kollegen und Leser des OSBN,

sofern Sie WordPress einsetzen, achten Sie heute auf Updates des WordPresscores auf 5.7.1+ . Nicht alle WordPressinstallationen updaten sich auch wirklich immer zuverlässig, daher im Zweifel einfach mal nachschauen.

Das BSI hat heute vor einer aktuellen Lücke in WordPress < 5.7.1. gewarnt. Über die geschlossene Lücke können Angreifer Daten der WordPressinstallation erbeuten. Da nicht näher erklärt wird, was das für Daten sind, darf man ruhig annehmen, daß auch Zugangsdaten erbeutet werden können.

Bei WordPress heißt es dazu:

Security Updates

Two security issues affect WordPress versions between 4.7 and 5.7. If you haven’t yet updated to 5.7, all WordPress versions since 4.7 have also been updated to fix the following security issues:

  • Thank you SonarSource for reporting an XXE vulnerability within the media library affecting PHP 8.

  • Thanks Mikael Korpela for reporting a data exposure vulnerability within the REST API.

Ich rate jedem zu einem Update, falls es nicht automatisch geklappt hat. Selbst wenn man am Ende nicht an Zugangsdaten hätte kommen können, lieber einmal mehr Updaten, als einmal zu wenig.

WordPress: über vergessene Defaults

Entschuldigt bitte die Störung mit nicht OSS relevanten Beiträgen. Die Ursache, wieso das immer wieder passiert wurde gefunden.

WordPress: über vergessene Defaults

Wer viel für eine Kategorie seines Blogs schreibt, der kann sich einiges sparen, aber wenn man das mal vergißt und für eine andere Kategorie schreibt, dann landet es ggf. bei der falschen Zielgruppe.

Daher hier der Hinweis, wie man das in WordPress abstellt:

Die Standard-Beitragskategorie muß lediglich auf etwas „anderes“ gestellt werden.

Apropos WordPress

Wer noch nicht auf 5.5.3 aktualisiert hat, der sollte das schnellsten machen:

Das BSI informiert über mehrere Sicherheitslücken in WordPress < 5.5.2 vom 1.11.2020 :

https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2020/11/warnmeldung_tw-t20-0188.html

Zusammenfassung:

Ein entfernter, anonymer Angreifer (Jeder) kann mehrere Schwachstellen in WordPress ausnutzen, um Cross-Site-Scripting und Cross-Site Request Forgery (CSRF) Angriffe durchzuführen, Sicherheitsvorkehrungen zu umgehen, Informationen offenzulegen und Code zur Ausführung zu bringen.

https://wordpress.org/news/2020/10/wordpress-5-5-2-security-and-maintenance-release/

Beim Durchsehen unserer Blogs habe ich dann tatsächlich eine Installation gefunden, die es per utoupdate nicht auf 5.5.3 geschafft hatte. Es gilt: „Vertrauen ist gut, Kontrolle ist besser.“

WordPress updaten, geht nur mit genug Platz :)

Für alle, die planen einen Blog mit echt vielen Grafiken und Medieninhalten zu bestücken, hier ein kurzer Hinweis zum WordPress 5.5 Update 🙂

WordPress updaten, geht nur mit genug Platz 🙂

Wer dieses Blog verfolgt, wird festgestellt haben, daß sich die Artikelzahl in diesen Jahr stark erhöht hat. Das liegt hauptsächlich natürlich an Coronaartikeln, die jede Menge Bildern zu den verschiedenen Statistiken intus haben. Ich habe jetzt 2.950 MB Daten im Blog und wollte ein Update auf WordPress 5.5 durchziehen. Das ist normalerweise kein Problem. Kurz auf „Update“ klicken und warten. Er lädt im Hintergrund schnell das WP Archiv runter, packt es aus und … meldet, daß es nicht geht … ähmm… 🙁

Komisch, die Updates der Plugins, die funktionieren, die Themes auch.. da muß doch … nein, muß es nicht. Das Hauptupdate ist zwar nur 13 MB groß, aber ausgepackt bringt es 50 MB auf die Waage. Hmmm.. zusammen 63 MB + ein paar temporäre Dateien.. 2.950 MB belegt… von ??? Oh… 3.000 MB 😀  Das Rätsels Lösung: das Update paßte nicht mehr auf die Platte. Ein Accountupgrade mußte her. Jetzt sind es 5.000 MB und das wird bis Ende des Jahres reichen müssen.

Merke: Wenn WordPress beim Blog Update streikt, könnte auch einfach der Webspace voll sein 😉