Abo
  • Services:
Anzeige
Wer das Oxid-System einsetzt, sollte schnell patchen.
Wer das Oxid-System einsetzt, sollte schnell patchen. (Bild: Oxid Esales)

Kritische Sicherheitslücke: Angreifer können Adminrechte in Oxid-E-Shop erlangen

Wer das Oxid-System einsetzt, sollte schnell patchen.
Wer das Oxid-System einsetzt, sollte schnell patchen. (Bild: Oxid Esales)

Eine Sicherheitslücke im E-Shop-System Oxid ermöglicht Angreifern den Zugriff auf das Admininterface, es kann auch Code ins Frontend injiziert werden. Aktuelle Versionen werden mit einem Patch abgesichert, für ältere existiert lediglich ein Workaround.

Der deutsche Softwarehersteller Oxid Esales hat eine kritische Sicherheitslücke in dem Produkt Oxid-E-Shop geschlossen. Angreifer konnten mithilfe manipulierter HTTP-Get- und HTTP-Post-Requests Zugriff auf das Admininterface erlangen. Mittlerweile gibt es einen Patch, außerdem lässt sich das Problem auch mit einem Workaround beheben.

Anzeige

Die Sicherheitslücke wurde von dem Unternehmen selbst entdeckt, in mehreren Code-Audits soll sie zuvor unentdeckt geblieben sein. Betroffen sind alle Oxid-E-Shop-Produkte in der Enterprise-, Professional- und Community-Edition. Für die Sicherheitslücke wurde die CVE-2016-5072 vergeben.

Angreifer können sich in ungepatchten Systemen über das Frontend der Webseite Zugriff auf das Admininterface verschaffen und damit auf Kundendaten und die Datenbank zugreifen. Außerdem sollen Angreifer in der Lage sein, PHP-Code auszuführen oder anderen Code in das Frontend einzuschleusen.

Ältere Versionen mit Workaround absichern

Die aktuellen Versionen werden mit einem Update versorgt, das umgehend installiert werden sollte. Ältere Versionen hingegen lassen sich nur mit einem Workaround absichern.

Dazu sollte zunächst der Admin-Ordner über die htcaccess-Datei abgesichert werden. Oxid stellt dafür eine Anleitung bereit. Außerdem sollte der standardmäßig angelegte Adminnutzer ersetzt werden. Dazu muss im Admininterface zunächst ein neuer Nutzer mit entsprechenden Rechten angelegt werden. Nach einem erneuten Login mit dem neuen Benutzernamen muss an die URL der Zusatz "&cl=user_list&fnc=deleteentry&oxid=oxdefaultadmin" angehängt und mit Enter aufgerufen werden. Nach einem erneuten Login sollte überprüft werden, ob der ursprüngliche Admin-Nutzer tatsächlich entfernt wurde.

Außerdem kann die Anwendung mithilfe einer Webapplication-Firewall gegen einen Angriff abgesichert werden. Dazu hat Syseleven eine Implementation für Modsecurity entwickelt.

Disclaimer: Syseleven ist der Hoster von Golem.de.


eye home zur Startseite
hg (Golem.de) 14. Jun 2016

Danke für den Hinweis, habe ich korrigiert.



Anzeige

Stellenmarkt
  1. Trebing & Himstedt Prozeßautomation GmbH & Co. KG, verschiedene Einsatzorte (Home-Office)
  2. Robert Bosch GmbH, Stuttgart
  3. Ratbacher GmbH, Raum Köln
  4. Made in Office GmbH, Köln


Anzeige
Hardware-Angebote
  1. 1.029,00€ + 5,99€ Versand
  2. ab 649,90€
  3. 169,00€

Folgen Sie uns
       


  1. Quantenalgorithmen

    "Morgen könnte ein Physiker die Quantenmechanik widerlegen"

  2. Astra

    ZDF bleibt bis zum Jahr 2020 per Satellit in SD verfügbar

  3. Kubic

    Opensuse startet Projekt für Container-Plattform

  4. Frühstart

    Kabelnetzbetreiber findet keine Modems für Docsis 3.1

  5. Displayweek 2017

    Die Display-Welt wird rund und durchsichtig

  6. Autonomes Fahren

    Neues Verfahren beschleunigt Tests für autonome Autos

  7. Künstliche Intelligenz

    Alpha Go geht in Rente

  8. Security

    Telekom-Chef vergleicht Cyberangriffe mit Landminen

  9. Anga

    Kabelnetzbetreiber wollen schnelle Analogabschaltung

  10. Asus

    Das Zenbook Flip S ist 10,9 mm flach



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Matebook X und E im Hands on: Huawei kann auch Notebooks
Matebook X und E im Hands on
Huawei kann auch Notebooks
  1. Matebook X Huawei stellt erstes Notebook vor
  2. Trotz eigener Geräte Huawei-Chef sieht keinen Sinn in Smartwatches
  3. Huawei Matebook Erste Infos zu kommenden Huawei-Notebooks aufgetaucht

Debatte nach Wanna Cry: Sicherheitslücken veröffentlichen oder zurückhacken?
Debatte nach Wanna Cry
Sicherheitslücken veröffentlichen oder zurückhacken?
  1. Sicherheitslücke Fehlerhaft konfiguriertes Git-Verzeichnis bei Redcoon
  2. Hotelketten Buchungssystem Sabre kompromittiert Zahlungsdaten
  3. Onlinebanking Betrüger tricksen das mTAN-Verfahren aus

Sphero Lightning McQueen: Erst macht es Brummbrumm, dann verdreht es die Augen
Sphero Lightning McQueen
Erst macht es Brummbrumm, dann verdreht es die Augen

  1. Re: Akkuproblem noch viel schlimmer als bei PKW!

    chewbacca0815 | 15:49

  2. Ist wohl keine einfache Aufgabe

    M.P. | 15:47

  3. Re: Günstiger als ein normales Dach

    thecrew | 15:46

  4. Re: Hat uns die Dieselaffäre nichts gelehrt?

    Kleba | 15:44

  5. Re: Interessant zu wissen wäre

    M.P. | 15:43


  1. 14:21

  2. 13:56

  3. 12:54

  4. 12:41

  5. 11:58

  6. 11:25

  7. 10:51

  8. 10:50


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel