W3 Total Cache: Alte Versionen lassen Fremde deinen Server nutzen

Für das Cache-Plugin W3 Total Cache (rund 900.000 aktive Installationen) und das Suchplugin Relevanssi liegen Meldungen zu Lücken in älteren Versionen vor. Betroffen bist du nur, wenn du eine alte Ausgabe einsetzt. Die wichtigste Aktion: Beide Plugins auf den aktuellen Stand bringen. W3 Total Cache liegt derzeit bei Version 2.11.0.

W3 Total Cache: Deine Seite kann für Fremde Webadressen abrufen

Worum geht’s: W3 Total Cache ist das Plugin, das deine Seite durch Zwischenspeicherung schneller macht. In alten Versionen kann ein Fremder deinen Server dazu bringen, Webadressen für ihn abzurufen. Dein Server wird so zum Mittelsmann (Fachbegriff: Server-Side Request Forgery). Laut dem Entdecker sind nur lesende Abrufe möglich.

Bist du betroffen: Betroffen sind laut WPScan alle Versionen vor 0.9.5, also 0.9.4 und älter. Ein Login ist nicht nötig, jeder Besucher deiner Seite könnte es versuchen. Laut dem Entdecker greift das mit den Standardeinstellungen, auch wenn die Minify-Funktion (Verkleinern von Skripten) ausgeschaltet ist. Laut WPScan ist die Lücke ab Version 0.9.5 behoben. Der Entdecker nennt die Versionsnummer selbst nicht, schreibt aber, der Hersteller W3 Edge habe das Problem im September 2016 angegangen. Öffentlich gemeldet wurde die Lücke am 31. Oktober 2016.

Was deiner Website passieren kann:

Der Server könnte Adressen abrufen, die von außen eigentlich nicht erreichbar sind, etwa Dienste im internen Netz.
Fremde könnten deinen Server als Relais für ihre Anfragen benutzen. Im schlimmsten Fall fällt das beim Hoster als Missbrauch auf.

Wie dringend: Diese Woche. Es braucht keinen Login, die Auswirkung ist laut Entdecker aber auf einfache Abrufe begrenzt. Eine Einstufung nach CVSS liegt nicht vor.

Das solltest du tun:

Prüfe unter Plugins, welche Version von W3 Total Cache läuft.
Aktualisiere auf Version 2.11.0, mindestens aber auf 0.9.5.
Laut Hersteller ist die Liste erlaubter Fremdadressen seit dem Fix standardmäßig leer. Lass sie leer, wenn du sie nicht brauchst.

Ebenfalls diese Woche

Relevanssi – A Better Search (relevanssi): Das Plugin verbessert die Suche auf deiner Seite. Laut WPScan können Besucher präparierte Suchbegriffe eingeben, die später im Admin-Bereich unter den Nutzersuchen auftauchen und dort Schadcode im Browser des Admins laufen lassen (Fachbegriff: Cross-Site-Scripting). Das gilt nur, wenn die Protokollierung der Suchanfragen aktiv ist. Die Einstufung ist ernst (CVSS 7.5), ein Login ist nicht nötig, sicher ist Version 4.14.3 (aktuell: 4.28.5). Im schlimmsten Fall könnte ein Admin, der die Seite öffnet, seinen Zugang an Fremde verlieren. Dringlichkeit: Sofort.

W3 Total Cache, Funktion zum Leeren des PHP-Zwischenspeichers (vor 0.9.7.4): Laut WPScan nimmt diese Funktion einen Wert von außen entgegen und nutzt ihn für eine Dateiprüfung. Dadurch lassen sich Abrufe im Namen deines Servers auslösen. Unter bestimmten Voraussetzungen kann daraus das Ausführen fremden Codes werden, im schlimmsten Fall bis zur Übernahme der Seite. Laut der Meldung braucht der Angreifer dafür ein Sicherheits-Token, das er berechnen kann, wenn Inhalte der Konfigurationsdatei wp-config.php nach außen gelangen. Ob ein Login nötig ist, nennt die Quelle nicht. Sicher ist laut WPScan Version 0.9.7.4. Dringlichkeit: Diese Woche.

W3 Total Cache, Push-Nachrichten von Amazon SNS (vor 0.9.5): Der Dienst Amazon SNS kann dem Plugin Benachrichtigungen schicken. Laut WPScan und der Meldung auf seclists.org werden sie zu schwach geprüft. Ein Angreifer könnte dadurch den Zwischenspeicher deiner Seite manipulieren, was die Seite im schlimmsten Fall lahmlegt. Fix laut WPScan und der Meldung: Version 0.9.5. Ob ein Login nötig ist, steht nicht in der Meldung. Dringlichkeit: Diese Woche.

W3 Total Cache, Cross-Site-Scripting (bis 0.9.7.3): Ein Angreifer könnte Schadcode im Browser eines Opfers ausführen lassen. Das kann zu Umleitungen auf Betrugsseiten oder zum Verlust des Admin-Zugangs führen. Welche Rechte nötig sind, nennt die Meldung nicht. Sicher ist laut WPScan Version 0.9.7.4. Dringlichkeit: Diese Woche.

W3 Total Cache, umgehbare Signaturprüfung (vor 0.9.7.4): Das Plugin wertet das Ergebnis einer kryptografischen Prüfung nicht richtig aus. Dadurch lässt sich diese Absicherung umgehen. Welche Folgen das konkret hat, nennen die Quellen nicht. Je nach Art der Lücke reicht das von veränderten Einstellungen bis zur Übernahme der Seite. Fix laut WPScan: Version 0.9.7.4. Dringlichkeit: Diese Woche.

Was du jetzt tun solltest

Lege ein Backup von Dateien und Datenbank an, bevor du aktualisierst.
Aktualisiere zuerst Relevanssi auf mindestens 4.14.3, besser auf die aktuelle Version.
Aktualisiere dann W3 Total Cache auf die aktuelle Version 2.11.0. Die Fixes liegen laut WPScan in 0.9.5 und 0.9.7.4, die aktuelle Version liegt darüber.
Schau unter Benutzer nach Admin-Konten, die du nicht kennst, besonders wenn bei dir die Suchprotokollierung von Relevanssi lief.
Lösche Plugins, die du nicht nutzt, statt sie nur zu deaktivieren.

Was noch offen ist

Für die W3-Total-Cache-Meldungen gibt es weder CVE-Kennungen noch CVSS-Werte. WPScan markiert mehrere Einträge als nicht verifiziert, und die genannten Korrekturen konnten nicht im Code nachgeprüft werden. Bei einigen Einträgen fehlt die Angabe, ob ein Login nötig ist.

Quellen

Brauchst du Hilfe bei diesem Thema?

Wir prüfen deine Seite und sagen dir ehrlich, was sie wirklich braucht: Erstanalyse kostenlos.

Soforthilfe anfragen