Vor rund drei Wochen berichtete ein Nutzer, dass das AIOS v5.1.9-Plugin nicht nur die Anmeldeversuche der Benutzer in der Datenbanktabelle aiowps_audit_log aufzeichnete, die zur Verfolgung von An- und Abmeldungen und fehlgeschlagenen Anmeldungen verwendet wird, sondern auch das eingegebene Passwort. Er zeigte sich besorgt darüber, dass dieses Vorgehen des Programms gegen mehrere Sicherheitsstandards verstößt, darunter NIST 800-63 3, ISO 27000 und die DSGVO.
Doch bei Updraft wiegelte man zunächst ab. Es handele sich um einen bekannten Bug, der mit der Veröffentlichung der nächsten Version behoben werde. Doch nach genauerer Betrachtung des Problems kam man offenbar auch bei Updraft zu einer anderen Einschätzung, denn etwa eine Woche später wurden besorgten Nutzern Developement Builds der nächsten Version des Plug-ins zur Verfügung gestellt, mit denen die Sicherheitslücke geschlossen werden sollte. Der Erfolg dieser Maßnahme hielt sich jedoch in Grenzen, denn wer versuchte, die Developement Builds zu installieren, sah sich mit Webseitenproblemen konfrontiert – und die Logs mit den Passwörtern im Klartext waren trotzdem weiterhin vorhanden.
Am 11. Juli folgte dann endlich die Veröffentlichung der neuesten Version 5.2.0 von AIOS, bei der keine weiteren Passwörter im Klartext aufgezeichnet und die betroffenen älteren Logs gelöscht werden. Nutzer der älteren Version sollten daher schnellstmöglich das Update auf die neueste Version durchführen – und überlegen, die bisherigen Passwörter zu ändern, insbesondere dann, wenn diese auch bei anderen Programmen und Webseiten zum Einsatz kommen.
Noch haben längst nicht alle Nutzer von AIOS die neue Version installiert. Ein Blick auf die WordPress-Statistik zeigt, dass weniger als ein Drittel ihre Webseite inzwischen abgesichert haben. Das liegt sicherlich auch an der Kommunikation von Updraft rund um die Sicherheitslücke, denn zu keinem Zeitpunkt hat das Unternehmen seine Nutzer während des Expositionszeitraums vor dem erhöhten Risiko gewarnt und ihnen gesagt, welche Maßnahmen sie ergreifen sollten. Da das Problem mittlerweile seit mehr als drei Wochen bekannt ist und WordPress ohnehin zu den beliebtesten Zielen der Hacker gehört, steigt das Risiko eines Angriffs stetig weiter.
Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.
8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.
8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Head of Communications
Telefon: +49 6321 484460
E-Mail: redaktion@8com.de
