Zugang Wörterbuch
Rechteausweitung
Definition
Rechteausweitung heißt, höheren Zugriff zu bekommen als vorgesehen, etwa wenn ein Abonnent zum Administrator wird.
Auch genannt: privilege escalation, privesc, Privilege Escalation
Zuletzt aktualisiert
Warum es für WordPress wichtig ist
Ein Fehler, der einem Abonnenten erlaubt, Optionen zu ändern oder PHP hochzuladen, ist praktisch eine vollständige Übernahme der Website. Viele Plugin-CVEs heißen „authenticated privilege escalation“. Spam-Registrierungen plus einer dieser Fehler ist eine häufige Kombination.
So zeigt es sich in der Praxis
- Neue Administrator-Konten, angelegt von einer niedrigeren Rolle
- Advisory-Text: „Subscriber+ kann … und das führt zu RCE / Admin-Zugriff“
- Rechteprüfungen, die nur
is_user_logged_in()testen statt einer echten Capability - Mitgliedschafts- oder Formular-Plugins, die still
upload_filesoder Schlimmeres vergeben
Was Sie tun sollten
- Aktualisieren Sie Plugins, wenn CVEs zur Rechteausweitung erscheinen. Warten Sie nicht auf „sieht unbenutzt aus“.
- Halten Sie offene Registrierung ehrlich. Spam-Konten vergrößern die Angriffsfläche.
- Beobachten Sie Rollenwechsel in einem Ereignisprotokoll.
- Wenden Sie minimale Rechte an, damit weniger Konten nah an der Gefahrenlinie starten.
Verwandte Begriffe
Ideas cercanas en el diccionario
- Prinzip der minimalen Rechte Minimale Rechte heißt: jeder Benutzer und jede Integration bekommt nur den Zugriff, den die Aufgabe braucht, nicht mehr.
- Schwachstelle Eine Schwachstelle ist eine Schwäche in Software, die Angreifer missbrauchen können, um Vertraulichkeit, Integrität oder Verfügbarkeit zu brechen.
- WordPress-Benutzerrollen Benutzerrollen bündeln Rechte, die festlegen, was jedes Konto in WordPress darf, vom Lesen bis zur vollen Administration.
- Remote Code Execution Remote Code Execution ist eine Schwachstelle, über die ein Angreifer von ihm gesteuerten Code auf dem Server ausführt.
- CVE Ein CVE ist eine öffentliche Kennung für eine bekannte Cybersicherheits-Schwachstelle in gemeinsamen Datenbanken.
