Hintertür in Gästebuch-Skript Update

heise Security
Bild: Ein leicht zu erratendes Standardpasswort öffnet den Admin-Bereich. Das PHP-Skript GA Gästebuch von gifarchiv.net enthält eine Hintertür: Der Admin-Bereich akzeptiert ein immer gleiches Standardpasswort, wie uns ein Leser gemeldet hat. Hat man sich mit dem leicht zu erratenden Standardpasswort eingeloggt, kann man das vom Admin erdachte Passwort im Klartext auslesen.

Auch die Mailadresse des Admins findet sich dort, sodass ein Angreifer gute Chancen hat, auch noch das Mailkonto sowie weitere Online-Zugänge des Admins zu übernehmen. Natürlich kann ein Angreifer auch nach Belieben im Adminbereich wüten und etwa Gästebucheinträge löschen. Wir konnten die Backdoor mehrfach nachvollziehen.

Gegenüber heise Security bestätigte der Entwickler die Hintertür: "Ich habe länger nicht an dem Skript gearbeitet und dachte eigentlich, diesen Zugang in einer älteren Version des Skriptes entfernt zu haben." Trotzdem hält der Entwickler, zumindest vorerst, an dem Konzept fest: "Ich habe [...] als erste schnelle Maßnahme das Passwort in der Downloadversion durch ein sichereres Passwort ersetzt und werde mir überlegen, wie ich damit weiter umgehen werde." Der Zugang soll "zur Überprüfung der Einstellungen im Admin-Bereich" bei Nutzeranfragen dienen.

Tatsächlich wurde der Passwort-Hash im frei zugänglichen Quellcode ausgetauscht. Das dazugehörige Passwort scheint komplizierter als das vorherige zu sein, es lässt sich nun nicht mehr durch Google in Sekundenschnelle herausfinden. Allerdings handelt es sich weiterhin um einen "ungesalzenen" Hash-Wert, sodass Angreifer mit entsprechenden Rainbow-Tables das Klartext-Passwort wahrscheinlich ohne größere Probleme ermitteln können (siehe auch: Cracker-Bremse auf heise Security).

Auf die Frage, ob der Entwickler die Nutzer des Skripts auf die Hintertür hinweisen werde, bekamen wir keine Antwort. Auch über die ungefähre Zahl der aktuellen Installationen schweigt sich der Entwickler aus. Laut einer Google-Suchabfrage sind es mindestens mehrere hundert.

Update: Der Entwickler hat das Standardpasswort nun entfernt. Die aktuell angebotene Version ist nicht mehr betroffen. Zudem bietet er ein Sicherheitsupdate an, das die Hintertür aus bestehenden Installationen entfernt. (rei)