Gravierende Sicherheitslücke erlaubt Ausführung von Schadcode

In eben diesem TimThumb Script exisitiert nun eine Sicherheitslücke, mit der man beliebige PHP Dateien in dessen Cache-Verzeichnis einschleusen und ausführen kann. Das bedeutet praktisch ungehinderten Zugriff auf alle WordPress-Dateien, die Datenbank, FTP und sogar die Kommandozeile!

Alucar Shell

TimThumb führt nur eine mässige Kontrolle der erlaubten Bild-URLs durch, weshalb das Script eine leichte Beute für Hacker darstellt. Das musste auch Mark Maunder feststellen, als plötzlich Werbung in seinem Blog auftauchte. Beim Nachforschen stiess er auf weitere Ungereimtheiten. So hat der Hacker eine Alucar Shell hochgeladen, um den Server per Mausklick zu durchforsten.

So behebt man die Lücke

Mark hat in seinem Blog eine Anleitung gepostet, wie man die Lücke vorerst schliessen kann. Am besten ist es, TimThumb iunklusive des Cache-Verzeichnisses komplett zu löschen. Wer dies nicht will, sollte etwa auf Zeile 27 des Scripts das Array $allowedSites aufspüren und ersetzen mit $allowedSites = array();.

Desweiteren sollte man nach base64_decode(...) Ausschau halten, am besten via SSH mit dem grep-Kommando. Laut Mark gibt es auch verdächtige .txt-Dateien im /tmp/-Verzeichnis des Servers.

Aller Anfang ist klein

Klar, Core Contributors wie Dominik oder Autoren zig bekannter Plugins wie Frank kann ich kaum das Wasser reichen. Doch meiner Meinung nach kann man schon mit kleinen Beiträgen etwas zu Open Source Software beitragen. Abgesehen von diesem Blog, wo ich ja immerhin viele Tipps & Tricks für Beginner, Fortgeschrittene und machmal auch Profis verfasse, bin ich beispielsweise laufend an einigen Projekten dran. Etwa ein Plugin, dass ich veröffentlichen möchte, oder auch ein Theme.
Ich bin dann jeweils ein wenig baff, wenn Ellen und Manuel ein Theme nach dem anderen veröffentlichen. «Woher bloss die Zeit nehmen?», frage ich mich. Bereits jetzt bin jetzt schon täglich mehrere Stunden vor dem Computer, um dann abends nochmals die kostbare Freizeit in diesen Blog und das PDF Magazin zu investieren. Eigentlich ist es aber gar nicht so schwer, etwas an die Community zurückzugeben. Es gibt, wie bereits erwähnt, mehrere Wege dazu.

Plugins sind vielleicht nicht jedermanns Sache, Tutorials vielleicht schon eher. Wer jedoch etwas direkter seinen Beitrag leisten möchte, kann im WordPress Trac aktiv werden oder sich für den Beginn einer etwas einfachere Aufgabe annehmen. Ein Tweet der WordPress für Windows Phone 7 Entwickler brachte mich diese Woche dann auf eine Idee:

We're looking for a few more strings in the app to be translated to German, can you help out? http://cot.ag/pYLv4L

27. July 2011 09:58 via CoTweetReplyRetweetFavorite

@WPWindowsPhone

for Windows Phone 7

Warum nicht dabei helfen, eine solche App ins Deutsche zu übersetzen? WordPress selbst wird ja bereits von einem tollen Team übersetzt. Doch bei den Apps und anderen Projekten sind es eine lose Zahl an Freiwilligen. Vieles war bei der App bereits übersetzt, ich habe also nur noch den Feinschliff gemacht dank GlotPress alles kein Problem. Nun ist die App komplett übersetzt und wird wohl demnächst so zum Download angeboten. Was ich dafür erhalten habe? Ein nettes Dankeschön.

@swissspidy thanks for translating the WP7 app, could you make sure this one is correct please? http://t.co/cdl3IVZ

27. July 2011 15:58 via webReplyRetweetFavorite

@danroundhill

Dan Roundhill

Doch damit zeigte ich mich noch nicht zufrieden. Unter translate.wordpress.org habe ich deshalb versucht, weitere Übersetzungen für die WordPress Mobile Apps zu liefern. Und wenn man schon dabei ist, warum nicht auch rasch beim neuen bbPress Plugin vorbeischauen? Da gibt es noch genügend Nachholbedarf.

Diese Übersetzungen kosten wenig Zeit und doch helfen sie der Community. WordPress kann so in vielen weiteren Sprachen und somit einer weitaus grösseren Anzahl Menschen angeboten werden. Warum gibst du also nicht auch etwas an die Community zurück?

Bis jetzt wurden über 350 Tickets geschlossen. Doch um weitere Bugs zu finden und zu beheben, braucht es die Unterstützung testfreudiger User. Wenn ihr also gerade eine Testinstalaltion zur Hand habt, installiert WordPress 3.2 RC1 mit wenigen Klicks mit dem WordPress Beta Tester Plugin.

Wie in vorherigen Beiträgen erwähnt, bringt WordPress 3.2 viele spannende Features mit sich. Unter anderem eine neue Vollbildansicht, ein überarbeitetes Backend-Design sowie ein neues Theme.

Weiterführende Links:

• Support Forum
• wp-testers Mailing Liste
• WordPress Trac
• Download WordPress 3.2 RC1

WordCamp Switzerland

Die morgendliche Begrüssung wurde von 9.00 Uhr um eine Stunde verschoben, offensichtlich hatten einige Mühe, das Hauptgebäude der Fachhochschule, wo das WordCamp statt fand, zu finden. Es war nämlich nicht wie beschrieben in Brugg, sondern auf der anderen Seite des Bahnhofs in Windisch.

Sessions

Trotzdem blieben alle bei guter Laune und die Session-Einteilung begann. Zuerst sprach Philip Hetjens von Blogwerk über Performance-Steigerung von WordPress-Blogs. Danach schaute ich bei verschiedenen anderen Sessions rein.

Die Agenda

Simon Künzler und Andrea Iltgen von der Xeit GmbH hatten zum Beispiel ein bisschen Marktforschung betrieben und die Meinung der Zuhörer über diverse Social Media Kampagnen wissen wollen. Vom eigentlichen Thema «Bloggen für Geld - wie viel Kommerz ist ok?» ist man bald abgekommen und es stand die Frage im Raum, ob Blogger ein klösterlich definierter Begriff sei. Sehr spannend, vor allem auch wegen den unterschiedlichen Ansichten von Deutschen und Schweizern.

Von der WordPress-Agentur Inpsyde gab es gleich zwei Sessions: Ein neuer Ansatz beim Thema Mehrsprachigkeit wurde vorgestellt, sowie gezeigt, wie so eine Agentur funktioniert, wenn alle in Deutschland verteilt leben und arbeiten.

Rückblick

Ruud Janssen von TNOC hat als Zusammenfassung ein spannendes Timelapse-Video erstellt. Wenn ihr mich sucht: Ich bin der mit dem blauen HTML5 T-Shirt, der immer wieder am Buffet ist ;-). Im Blog vom WordCamp Switzerland gibts zudem noch noch den ganzen Tag als Storify-Story. Fotos gibts z.B. beim TNOC Flickr-Account.

Die Timeline für WordPress 3.2 steht noch aus, doch mit Sicherheit dürfte dieser Release weniger lange dauern als WordPress 3.1. Und zwar nicht nur, weil es wirklich lange genug gedauert hat, sondern weil auch die Features kaum an der Oberfläche passieren. Aber sehen wir uns die Liste einmal genauer an:

Das bringt WordPress 3.2

Generalüberholung

Alte Sachen schmeisst man raus, neues kommt aber nicht hinzu. Der ganze Adminbereich soll somit schneller und besser werden. Auch der Internet Explorer 6 gehört zu diesen Altlasten und wird nun nicht mehr unterstützt. Bezüglich Schnelligkeit soll vor allem auch im PHP-Teil einiges optimiert werden.

Tabellen

Die Schnittstelle für die verschiedenen Daten-Tabellen wie z.B. für Beiträge, Seiten, Benutzer soll fertiggestellt werden, sodass man z.B. in Plugins ohne grossen Aufwand solche Tabellen umsetzen kann. Falls dies schnell gelingt, werden auch die Ajax Features wieder integriert, da man dort noch einige Probleme hatte.

PHP5, MySQL5

WordPress knüpft, wie schon lange vorher bekannt, endlich an Drupal & Co. an und benötigt fortan mindestens PHP 5.2.4 und MySQL5. Allerdings werden hier vorerst bloss die Zahlen geändert und nicht etwa ganze Datenbankabfragen.

Upgrades

Der Upgrade-Prozess soll für den Benutzer schneller werden, indem beispielsweise nur noch die wichtigen Dateien, welche auch bei einem Release geändert wurden, ausgetauscht werden. Zudem soll Twenty Ten oder Akismet nicht mehr automatisch aktualisiert werden. Hier hat man nämlich oft den unschönen Effekt eines Downgrades gehabt.

Fullscreen-Editor

Der WYSIWYG-Editor TinyMCE hat zwar einen integrierten Vollbild-Modus, doch der ist ziemlich unschön und hilft nicht so sehr beim Schreiben. Man hat sich bereits ein paar Plugins angeschaut, welche ein besseres Schreiberlebnis bieten und möchte nun selbst so eine Lösung implementieren.

Testen kann man das Ganze im Ankündigungsbeitrag auf WordPress.com.

Jetpack Website

Man könnte meinen, bei Automattic werde es nie langweilig, denn heute hat die Firma um WordPress-Gründer Matt Mullenweg mit Jetpack ein neues WordPress Plugin veröffentlicht, welches alle Features von WordPress.com auch für die Nutzer der herunterladbaren Software ermöglicht. Erst Anfang des Jahres hat Matt Mullenweg das Kürzel JP angeteasert, nun wissen wir also, wofür es steht.

Jetpack macht Plugins wie etwa WordPress.com Stats überflüssig und deaktiviert diese entsprechend bei der Installation. Ganze 8 Module beinhaltet Jetpack bisher, darunter auch Gravatar Hovercards, Sharedaddy und die Rechtschreibprüfung After the Deadline. Ein weiteres Dutzend soll noch folgen, denkbar wäre z.B. der WordPress.com-eigene Like-Button.

Automattic hat mit mehreren Hosting-Anbietern zusammengearbeitet, damit Jetpack jeder neuen WordPress-Installation automatisch beiliegt. Bestimmte Premium Features wie Blackbird Pie bleiben allerdings weiterhin WordPress.com-Nutzern vorbehalten.

Die Installation von Jetpack ist übrigens sehr einfach: Nach der Aktivierung wird man gebeten, sich mit WordPress.com zu verbinden. Falls man dort nicht registriert ist, kann man rasch einen Account (auch ohne neues Blog) erstellen. Durch die mögliche Verbindung seines eigenen Blogs mit WordPress.com geht Automattic einen Schritt weiter in Richtung Verknüpfung des Internet, was ja schon mehrmals von Matt & Co. erwähnt wurde.

Einfach. WordPress.

Einfach. WordPress.

Die beiden SEO- und WordPress-Spezialisten Martin Metzmacher (u.a. Gastautor hier im Blog) und Nathaniel Stott wollen unter dem Dach von einfachwordpress.de nicht nur Webinare veranstalten, sondern laden auch offline zu Workshops ein. Solche Seminare wurden auch von unseren Lesern schon desöfteren gewünscht - nun sind sie zumindest in Deutschland erstmals verfügbar. Folgendes Angebot kann derzeit genutzt werden:

• Webinar WordPress installieren
• Webinar Webseite mit WordPress erstellen
• 1. Workshop Strategie & Struktur
• 2. Workshop WordPress Design
• 3. Workshop WordPress als CMS

Während die einstündigen Webinare kostenlos einer unlimitierten Anzahl Teilnehmer zur Verfügung stehen, werden die Workshops rund 300 Euro kosten und einen ganzen Nachmittag beanspruchen. Als Lokalität wurde das Unperfekthaus in Essen gewählt. Dabei gibt es einen Schnellbucher-Rabatt von 50 Euro, wer Interesse an einem Workshop hat, sollte sich also beeilen.

Das Organisationsteam besteht aus mir, Olaf Schmitz (WordPress Deutschland) und Magnus Kahlweiss. Zurzeit sind wir noch auf der Suche nach Sponsoren, Interessenten dürfen sich gerne unter orga@wordcamp-switzerland.ch melden.

WordCamp Switzerland

Professional WordPress Plugin Development

Die bekannten WordPress-Entwickler Brad Williams, Justin Tadlock und Ozh Richard haben zusammen ein Buch über professionelle WordPress Plugin-Entwicklung geschrieben. Dabei werden sehr viele Bereiche abgedeckt, wie zum Beispiel die Grundlagen, Hooks, Sicherheit, Shortcodes und selbstverständlich auch Debugging.

Das Buch umfasst über 500 Seiten und rund 80 Beispiel-Plugins als Anregung. Es erscheint voraussichtlich am 22. März 2011 für 45 Dollar, kann jetzt aber schon für nur 29 Dollar bei Amazon vorbestellt werden, das sind ganze 36% Rabatt. Wer WordPress Plugins schreibt, sollte sich das Buch also unbedingt anschauen!