„`html
Zusammenfassung
Das WordPress-Plugin „Login with OTP“ weist in allen Versionen bis einschlieĂźlich 1.6 eine kritische AuthentifizierungslĂĽcke auf. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, durch Brute-Force-Attacken auf den OTP-Raum (One-Time Password) gĂĽltige Session-Cookies zu erlangen und dadurch vollständige Kontrolle ĂĽber die WordPress-Installation zu ĂĽbernehmen.
Betroffene Systeme
Plugin: Login with OTP
Betroffene Versionen: Alle Versionen bis einschlieĂźlich 1.6
WordPress-Installationen: Alle Installationen mit aktiviertem Plugin
Technische Details
Die Sicherheitslücke basiert auf einer unvollständigen Implementierung des Sicherheits-Patches für CVE-2024-11178. Die Rate-Limiting- und Lockout-Mechanismen wurden ausschließlich in der OTP-Generierungsfunktion otpl_login_action() eingebaut, jedoch nicht im OTP-Validierungszweig. Dies führt zu zwei kritischen Problemen:
- Fehlender Brute-Force-Schutz: Die OTP-Validierung unterliegt keiner Rate-Limiting-Kontrolle
- Keine OTP-Ablaufzeit: Generierte 6-stellige OTPs verfallen nicht, was den OTP-Raum auf 900.000 mögliche Kombinationen begrenzt
Angreifer können somit systematisch alle möglichen OTP-Werte durchprobieren, ohne auf Verzögerungen oder Konten-Sperren zu stoßen. Nach erfolgreicher Validierung wird die Funktion wp_set_auth_cookie() aufgerufen, welche eine vollständige WordPress-Session etabliert.
Empfohlene Massnahmen
- Sofortige Deaktivierung: Plugin unverzĂĽglich deaktivieren und deinstallieren
- Session-Überprüfung: WordPress-Logs auf verdächtige Authentifizierungen prüfen
- Passwort-Reset: Alle Administrator- und Benutzer-Accounts neu authentifizieren
- Alternative nutzen: TOTP-basierte MFA-Lösungen (z.B. Google Authenticator) implementieren
- Update abwarten: Auf Sicherheits-Patch des Plugin-Entwicklers prĂĽfen
Bewertung
CVSS 9.8 (Critical): Netzwerkgestützte Attacke ohne Authentifizierung oder Benutzerinteraktion mit maximalen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
„`