LiteSpeed Cache: die Lücken zur Rechteausweitung von 2024

LiteSpeed Cache gehört zu den am häufigsten installierten WordPress-Plugins: laut wordpress.org mehr als 7 Millionen aktive Installationen. 2024 hatte es drei Lücken, über die ein Besucher die Kontrolle über ein Administratorkonto übernehmen konnte, und eine davon wurde massenhaft ausgenutzt. Dieser Artikel erklärt, was passiert ist (ohne Angriffsanleitung), wer tatsächlich gefährdet war und was du prüfen solltest, wenn du es nutzt, selbst in einer aktuellen Version.

Ein Cache-Plugin mit privilegiertem Zugriff

Ein Cache-Plugin tut weit mehr, als Seiten zu speichern. Um den Cache für Seiten vorzubereiten, die Mitgliedern oder Administratoren vorbehalten sind, verfügt LiteSpeed Cache über einen Crawler (crawler), der eine Benutzerrolle simulieren kann: Er besucht die Website so, wie es ein angemeldeter Benutzer mit dieser Rolle tun würde. Damit dieser Crawler erkannt wird, verwendet das Plugin ein geheimes Token. Ist dieses Token erratbar oder lesbar, kann sich jeder als Crawler ausgeben und damit als Administrator.

Das ist die Gemeinsamkeit der Lücken von 2024: ein interner Vertrauensmechanismus, praktisch für die Performance, aber unzureichend geschützt.

CVE-2024-28000: ein zu schwaches Token

Am 1. August 2024 von John Blackbourn über das Programm von Patchstack gemeldet (mit einer Prämie von 14.400 Dollar, damals als Rekord für WordPress angekündigt), betrifft diese Lücke alle Versionen bis 6.3.0.1. Sie ist mit 9,8 von 10 bewertet.

Laut dem Patchstack-Advisory wurde das Simulationstoken ein einziges Mal mit einem nicht kryptografischen Zufallszahlengenerator erzeugt, war an keinen Benutzer gebunden und wurde nie erneuert. Der Raum möglicher Werte war klein genug, um von einem Bot durchprobiert zu werden, sodass ein nicht angemeldeter Besucher die Rechte eines Administrators erlangen und sein eigenes Administratorkonto anlegen konnte. Der Angriff setzte voraus, die numerische ID eines Administrators zu kennen (oft 1), und funktionierte nicht auf einem Windows-Server.

Version 6.4, veröffentlicht am 13. August 2024, hat die Lücke behoben. Das öffentliche Advisory erschien am 21. August. Laut BleepingComputer blockierte Wordfence in den folgenden Tagen mehr als 48.500 Angriffe pro 24 Stunden auf diese Lücke. Der Jahresbericht 2024 von Wordfence stuft sie anhand seiner spezifischen Firewall-Regeln als die am stärksten ins Visier genommene Lücke des Jahres ein.

CVE-2024-44000: Cookies in einem öffentlichen Log

Einige Wochen später meldete Patchstack eine zweite Lücke (vom NIST mit 9,8 bewertet) anderer Art. War das Debug-Log von LiteSpeed Cache aktiviert, schrieb das Plugin die Header der HTTP-Antworten hinein, einschließlich der nach einer Anmeldung gesendeten Sitzungscookies. Dieses Log lag unter einer vorhersehbaren Adresse, /wp-content/debug.log. Wer es lesen konnte, erhielt gültige Cookies und konnte sich als Benutzer anmelden, auch als Administrator.

Der für dich wichtige Punkt: Es genügte, dass das Log irgendwann einmal aktiviert und nie geleert worden war. Version 6.5.0.1 (4. September 2024) verschiebt das Log in einen eigenen Ordner mit zufälligen Namen und schreibt keine Cookies mehr hinein. Das Update löscht aber keine alte, bereits gefüllte Datei debug.log.

CVE-2024-50550: schon wieder die Rollensimulation

Im Oktober 2024 veröffentlichte Patchstack eine dritte Lücke zur Rechteausweitung, erneut im Zusammenhang mit der Rollensimulation, aber nur mit bestimmten Crawler-Einstellungen ausnutzbar. Patchstack bewertete sie mit 8,1, das NIST mit 9,8. Version 6.5.2 (17. Oktober 2024) löste das Problem, indem sie den Prozess der Rollensimulation vollständig entfernte.

CVE	Art	Betroffene Versionen	Behoben in	Bekannte Ausnutzung
CVE-2023-40000	Gespeichertes XSS ohne Authentifizierung, genutzt zum Anlegen von Administratoren	Bis 5.7	5.7.0.1 (Oktober 2023)	Ja, von WPScan im Mai 2024 gemeldet
CVE-2024-28000	Rechteausweitung ohne Authentifizierung	Bis 6.3.0.1	6.4 (13. August 2024)	Ja, in großem Stil ab August 2024
CVE-2024-44000	Kontoübernahme über das Debug-Log	Vor 6.5.0.1	6.5.0.1 (4. September 2024)	In unseren Quellen nicht dokumentiert
CVE-2024-50550	Rechteausweitung abhängig von den Crawler-Einstellungen	Bis 6.5.1	6.5.2 (17. Oktober 2024)	In unseren Quellen nicht dokumentiert

Wer gefährdet war

Nicht alle Websites mit aktivem Plugin waren auf dieselbe Weise gefährdet.

• CVE-2024-28000: praktisch alle Websites mit einer nicht gepatchten Version auf einem anderen Server als Windows. Das Plugin lässt sich auch auf Servern installieren, die keine LiteSpeed-Server sind.
• CVE-2024-44000: nur Websites, bei denen das Debug-Log des Plugins aktiviert worden war, oft vorübergehend bei einer Fehlersuche.
• CVE-2024-50550: nur Websites mit einer besonderen Konfiguration des Crawlers.

Die Verzögerung wirkte gegen die Websites. BleepingComputer stellte Ende August 2024 fest, dass die Downloads der gepatchten Version weit hinter der Zahl der Installationen zurückblieben, sodass ein großer Teil der Websites während der Angriffe gefährdet blieb.

Was du heute prüfen solltest

Die aktuelle Version des Plugins behebt diese Lücken. Ein Update bereinigt aber keine Website, die vorher kompromittiert wurde. Wenn deine Website 2024 eine alte Version genutzt hat, kontrolliere:

1. Die Version: Plugins, LiteSpeed Cache. Jede Version ab 6.5.2 behebt die drei Lücken von 2024; nimm die neueste.
2. Die Administratoren: Benutzer, Filter Administrator. Jedes unbekannte Konto muss untersucht werden. WPScan meldete 2024 Konten, die von Angreifern unter den Namen wpsupp-user und wp-configuser angelegt wurden.
3. Die alten Logs: Lösche /wp-content/debug.log, falls die Datei existiert und Spuren von LiteSpeed Cache enthält. Prüfe, dass sie im Browser nicht mehr abrufbar ist.
4. Die Sitzungen: Wenn ein Log mit Cookies öffentlich war, melde alle Sitzungen ab und ändere die Passwörter der Administratoren.
5. Die Dateien: Suche nach unbekannten PHP-Dateien in wp-content, vor allem in uploads.

Seitdem hatte das Plugin weitere, weniger schwere Lücken (zum Beispiel CVE-2025-12450, ein reflektiertes XSS in den Versionen bis 7.5.0.1, bewertet mit 6,1). Sie erinnern daran, dass ein sehr verbreitetes Plugin ein bevorzugtes Ziel bleibt und schnell aktualisiert werden muss, am besten automatisch.

Feststellung	Was du tun kannst
Cache-Plugins haben hohe Berechtigungen	Sie wie Sicherheits-Plugins behandeln: schnelle Updates
Debug-Logs können Geheimnisse enthalten	Sie nur für die Dauer einer Diagnose aktivieren und danach löschen
Ein sehr verbreitetes Plugin zieht Massenangriffe an	Automatische Updates dafür aktivieren
Das Update bereinigt nichts	Nach einer ausgenutzten Lücke Konten, Dateien und Sitzungen prüfen

Mit WP Masquerade

WP Masquerade behebt keine Lücken in Plugins. Es arbeitet mit LiteSpeed Cache zusammen: Das Leeren des Caches ist integriert, und die Pro-Version schreibt auch die Adressen in den von LiteSpeed Cache erzeugten Seiten um (siehe Kompatibilität mit Hostern und Caches). Bei einer Kontoübernahme verhindert die Zwei-Faktor-Authentifizierung der Pro-Version nicht die Ausnutzung einer Lücke, die die Anmeldung umgeht, schützt die Konten aber vor der Wiederverwendung eines gestohlenen Passworts. Die E-Mail-Benachrichtigungen und der Wochenbericht helfen, eine unerwartete Änderung zu bemerken.

Quellen

• NVD: CVE-2024-28000 (öffnet in neuem Tab)
• NVD: CVE-2024-44000 (öffnet in neuem Tab)
• Wordfence: 2024 Annual WordPress Security Report (PDF) (öffnet in neuem Tab)
• WordPress.org: Plugin LiteSpeed Cache (öffnet in neuem Tab)

Weitere herangezogene Quellen: weitere CVE-Einträge, Berichte der Fachpresse und Datenbank von Patchstack.