Abo
  • Services:
Anzeige
Wer das Oxid-System einsetzt, sollte schnell patchen.
Wer das Oxid-System einsetzt, sollte schnell patchen. (Bild: Oxid Esales)

Kritische Sicherheitslücke: Angreifer können Adminrechte in Oxid-E-Shop erlangen

Wer das Oxid-System einsetzt, sollte schnell patchen.
Wer das Oxid-System einsetzt, sollte schnell patchen. (Bild: Oxid Esales)

Eine Sicherheitslücke im E-Shop-System Oxid ermöglicht Angreifern den Zugriff auf das Admininterface, es kann auch Code ins Frontend injiziert werden. Aktuelle Versionen werden mit einem Patch abgesichert, für ältere existiert lediglich ein Workaround.

Der deutsche Softwarehersteller Oxid Esales hat eine kritische Sicherheitslücke in dem Produkt Oxid-E-Shop geschlossen. Angreifer konnten mithilfe manipulierter HTTP-Get- und HTTP-Post-Requests Zugriff auf das Admininterface erlangen. Mittlerweile gibt es einen Patch, außerdem lässt sich das Problem auch mit einem Workaround beheben.

Anzeige

Die Sicherheitslücke wurde von dem Unternehmen selbst entdeckt, in mehreren Code-Audits soll sie zuvor unentdeckt geblieben sein. Betroffen sind alle Oxid-E-Shop-Produkte in der Enterprise-, Professional- und Community-Edition. Für die Sicherheitslücke wurde die CVE-2016-5072 vergeben.

Angreifer können sich in ungepatchten Systemen über das Frontend der Webseite Zugriff auf das Admininterface verschaffen und damit auf Kundendaten und die Datenbank zugreifen. Außerdem sollen Angreifer in der Lage sein, PHP-Code auszuführen oder anderen Code in das Frontend einzuschleusen.

Ältere Versionen mit Workaround absichern

Die aktuellen Versionen werden mit einem Update versorgt, das umgehend installiert werden sollte. Ältere Versionen hingegen lassen sich nur mit einem Workaround absichern.

Dazu sollte zunächst der Admin-Ordner über die htcaccess-Datei abgesichert werden. Oxid stellt dafür eine Anleitung bereit. Außerdem sollte der standardmäßig angelegte Adminnutzer ersetzt werden. Dazu muss im Admininterface zunächst ein neuer Nutzer mit entsprechenden Rechten angelegt werden. Nach einem erneuten Login mit dem neuen Benutzernamen muss an die URL der Zusatz "&cl=user_list&fnc=deleteentry&oxid=oxdefaultadmin" angehängt und mit Enter aufgerufen werden. Nach einem erneuten Login sollte überprüft werden, ob der ursprüngliche Admin-Nutzer tatsächlich entfernt wurde.

Außerdem kann die Anwendung mithilfe einer Webapplication-Firewall gegen einen Angriff abgesichert werden. Dazu hat Syseleven eine Implementation für Modsecurity entwickelt.

Disclaimer: Syseleven ist der Hoster von Golem.de.


eye home zur Startseite
hg (Golem.de) 14. Jun 2016

Danke für den Hinweis, habe ich korrigiert.



Anzeige

Stellenmarkt
  1. TQ-SYSTEMS GMBH, Seefeld nahe München
  2. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Darmstadt
  3. über persona service Koblenz, Koblenz
  4. SICK AG, Waldkirch bei Freiburg im Breisgau


Anzeige
Top-Angebote
  1. (-63%) 21,99€
  2. (-67%) 16,49€
  3. (-58%) 24,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Internet of Things

    Fehler in Geschirrspüler ermöglicht Zugriff auf Webserver

  2. Vikings im Kurztest

    Tiefgekühlt kämpfen

  3. Deep Sea Mining

    Nautilus Minerals will Gold auf dem Meeresgrund abbauen

  4. Festplatten zerstören

    Wie man in 60 Sekunden ein Datencenter auslöscht

  5. Supercomputer

    HPE und BASF kooperieren für die industrielle Chemie

  6. Lufthansa

    Hyperloop könnte innerdeutsche Flüge ersetzen

  7. Blitzkrieg 3

    Neuronale-Netzwerke-KI für Echtzeit-Strategiespiel verfügbar

  8. Mobilfunk

    Fonic Smart S erhält mehr Datenvolumen

  9. Gesetzesentwurf

    Ein Etikettenschwindel bremst das automatisierte Fahren aus

  10. Triby Family

    Portabler Lautsprecher mit E-Paper-Display wird Alexa-fähig



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
D-Wave: Quantencomputer oder Computer mit Quanteneffekten?
D-Wave
Quantencomputer oder Computer mit Quanteneffekten?
  1. IBM Q Qubits as a Service
  2. Rechentechnik Ein Bauplan für einen Quantencomputer

Nier Automata im Test: Stilvolle Action mit Überraschungen
Nier Automata im Test
Stilvolle Action mit Überraschungen
  1. Nvidia "KI wird die Computergrafik revolutionieren"
  2. The Avengers Project Marvel und Square Enix arbeiten an Superheldenoffensive
  3. Nintendo Switch erscheint am 3. März

Hannover: Die Sommer-Cebit wird teuer
Hannover
Die Sommer-Cebit wird teuer
  1. Hannover Pavillons für die Sommer-Cebit sind schon ausgebucht
  2. Ab 2018 Cebit findet künftig im Sommer statt
  3. Modell 32UD99 LGs erster HDR-Monitor mit USB-C kommt nach Deutschland

  1. Re: Chemikers Rezept für defekte Platten

    DAUVersteher | 14:46

  2. Re: hmmm

    countzero | 14:46

  3. Re: Widrigkeiten

    Arsenal | 14:46

  4. Re: Wie wäre diese Methode: Nix illegales drauf...

    Koto | 14:46

  5. Re: Realistisch?

    Bouncy | 14:45


  1. 14:15

  2. 14:00

  3. 13:30

  4. 12:00

  5. 11:03

  6. 10:43

  7. 10:28

  8. 09:47


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel