Usikker cookie gør Wordpress pivåben for hijacking

2 kommentarer.  Hop til debatten
Usikker cookie gør Wordpress pivåben for hijacking
Illustration: Bob Smith.
Hackere kan stjæle en enkelt cookie, og på den måde skaffe sig adgang til Wordpress.
27. maj 2014 kl. 08:29
errorÆldre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Logger man ind på en Wordpress blog over et åbent Wifi-netværk, er det trivielt arbejde for for selv uerfarne it-kriminelle at stjæle login-oplysninger. Selv hvis man bruger 2-faktor godkendelse, skriver Ars Technica.

Det skyldes, at Wordpress sender en nøgle-cookie tilbage til brugeren, når han logger ind. Men i stedet for at kryptere den pågældende cookie, så sender Wordpress informationerne i klartekst. Det vil sige, alle der får fingre i den, kan uden problemer læse de nødvendige oplysninger til at logge ind på Wordpress.

Den pågældende cookie fungerer som et slags nøglekort. Har man først fået fat i den så bliver man lukket ind af Wordpress.

Derefter er det muligt for hackeren at skaffe sig adgang til stort set alle funktionerne på en Wordpress-blog. Hackeren kan ændre både passwords og andre sikkerhedsindstillinger og på den måde overtage bloggen.

Artiklen fortsætter efter annoncen

Fejlen vil ifølge udviklerne bag Wordpress blive rettet i næste opdatering. Det er dog på nuværende tidspunkt ikke muligt at hacke en blog, der benytter en sikker HTTPS-forbindelse.

Hvis ikke bloggen benytter sådan sikker forbindelse bør man holde sig fra at logge ind på Wordpress via offentlige netværk. Det er dog også muligt for ens internetudbyder at stjæle den usikre cookie.

2 kommentarer.  Hop til debatten
Debatten
Log ind for at deltage i debatten.
settingsDebatindstillinger
2
27. maj 2014 kl. 19:33

Er sårbare, hvis at det kun er login-delen der bruger HTTPS (set flere steder). Efter login redirectes man til insecure fordi det er billigere i serverkraft..

Men jesus.. Old news :P Nogen der husker "Firesheep" (2010)?

1
27. maj 2014 kl. 11:06

Er det spor anderledes i andre gængse CMS'er og lignende?

Er secure-flag'et nok? - og er det det rigtige?

Er der ikke andre gode måder at beskytte mod session-hijacking de kunne overveje?