Onlineshops: Viele Magento-Shops ungepatcht und angreifbar

Ein Fehler im Zend-Framework gefährdet Onlineshops auf Basis von Magento. Das Problem ist seit Anfang Juli 2012 bekannt und der Anbieter bietet seitdem eine korrigierte Version an, doch so mancher Shop wurde bislang nicht aktualisiert, so dass Angreifer auf jede Datei auf den Servern per Web zugreifen können.

Artikel veröffentlicht am ,
Wichtiges Update seit einem Monat verfügbar
Wichtiges Update seit einem Monat verfügbar (Bild: Magento)

Am 5. Juli 2012 warnte Magento vor einer kritischen Sicherheitslücke in seiner Shopsoftware. Ist die Funktion Zend XMLRPC auf dem einen System aktiviert, können Angreifer dadurch jede Datei auf dem Server lesen, einschließlich Passwort- sowie Konfigurationsdateien, und möglicherweise auch auf die Kundendatenbank zugreifen, sofern diese auf dem gleichen Server läuft wie der Magento-Webserver.

Stellenmarkt
  1. Consultant Governance & Administration (m/w/d)
    ERGO Group AG, Düsseldorf
  2. HR Operations Manager (m/w/d)
    InnoGames GmbH, Hamburg
Detailsuche

Doch auch mehr als einen Monat nach Veröffentlichung dieser Sicherheitslücke sind viele Onlineshops ungepatcht und damit weiterhin unsicher, darauf weist der Magento-Spezialist Nakami Lounge hin und veröffentlicht zugleich einen Proof-of-Concept. Dieser sei aber als allgemein bekannt einzustufen, da der in der Exploit-DB verzeichnete Exploit per Suchmaschine einfach zu finden ist, argumentiert Klaus Brantl von Nakami. Am 10. August 2012 waren 20 von 50 durch Nakami getestete Shops noch angreifbar. Die Shopbetreiber wurden von Nakami nach eigenen Angaben informiert, die Liste der 20 noch ungesicherten Shops liegt Golem.de vor, wird aber nicht veröffentlicht.

Nakami geht es nach eigenen Angaben vor allem darum zu verhindern, dass an Magento ein schlechter Ruf hängen bleibt, "sollten bei einem kritischen Shop 'Daten verloren' gehen".

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Superior Continuous Torque
E-Motor von Mahle für Dauerbetrieb unter Stress

Mahle hat einen neuen Auto-Elektromotor entwickelt, der unbegrenzt lange unter hoher Last betrieben werden kann. Dies wird durch ein neues Kühlkonzept im Motor erreicht.

Superior Continuous Torque: E-Motor von Mahle für Dauerbetrieb unter Stress
Artikel
  1. SpaceX: Starlink-Satelliten sollen Weltraumwetter vorhersagen
    SpaceX
    Starlink-Satelliten sollen Weltraumwetter vorhersagen

    SpaceX kooperiert mit einigen US-amerikanischen Organisationen, um Satelliten künftig besser vor unerwarteten Weltraumwetterphänomenen zu schützen.

  2. Technoblade: Minecraft verabschiedet verstorbenen Streamer mit Krönchen
    Technoblade
    Minecraft verabschiedet verstorbenen Streamer mit Krönchen

    Nach dem Tod des bekanntesten Minecraft-Streamers trauert die Community. Das Entwicklerstudio Mojang verabschiedet Technoblade im Launcher.

  3. VW.OS: VW-Software soll einfach updatefähig und bezahlbar sein
    VW.OS
    VW-Software soll "einfach updatefähig" und bezahlbar sein

    Mit seiner Softwaresparte Cariad will VW ein einheitliches System mit vereinfachter Architektur erstellen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 bestellbar • HP HyperX Gaming-Headset -40% • Corsair Wakü 234,90€ • Samsung Galaxy S20 128GB -36% • Audible -70% • MSI RTX 3080 12GB günstig wie nie: 948€ • AMD Ryzen 7 günstig wie nie: 259€ • Der beste 2.000€-Gaming-PC • CM 34" UWQHD 144 Hz günstig wie nie: 467,85€ [Werbung]
    •  /