Abo
  • Services:
Anzeige
Es gibt eine neue Sicherheitslücke in Magento.
Es gibt eine neue Sicherheitslücke in Magento. (Bild: Magento)

Zero Day Exploit: Magento-Onlineshops sind wieder gefährdet

Es gibt eine neue Sicherheitslücke in Magento.
Es gibt eine neue Sicherheitslücke in Magento. (Bild: Magento)

Wer eine Magento-basierte Onlineshop-Lösung verwendet, sollte dringend seine Einstellungen überprüfen. Eine Sicherheitslücke erlaubt die Kompromittierung des Angebots. Es betrifft aber nicht alle Installationen und der Hersteller arbeitet an einem Patch, kommuniziert dies jedoch nicht vernünftig.

Defensecode hat ein Security Advisory ausgegeben, das eine hohe Gefahr für Betreiber von Magento-Systemen darstellt, sofern die Option "Add Secret Key to URLs" deaktiviert wurde. Laut Defensecode wurden die Magento-Entwickler bereits im November 2016 auf die Sicherheitslücke aufmerksam gemacht. Magento reagierte sogar am Tag der Meldung und bestätigte Defensecode, dass man sich der Sicherheitslücke bewusst sei.

Anzeige

Doch dann passierte nichts mehr. Am 11. April 2017 kontaktierte Defensecode erfolglos noch einmal Magento und veröffentlichte am gestrigen 13. April das Security Advisory. Demzufolge ist es Angreifern möglich, aktive Magento-Sessions zu manipulieren. Dazu muss der Anwender des Magento-Systems nur zum Besuch einer präparierten Webseite gebracht werden. Anschließend lässt sich Fremdcode ausführen. Der Angriff soll so einfach sein, dass er beispielsweise in einem Magento-Support-Forum platziert werden könnte. Besonders hohe Rechte braucht der Angegriffene nicht, er muss nur in seinem Magento-System angemeldet sein.

Magento kennt die Probleme, kommuniziert aber kaum

Auf Anfragen von Kaspersky und PC World reagierte das Unternehmen mit kurzen Statements. Demnach soll schon im nächsten Magento-Release die Sicherheitslücke geschlossen werden. Zudem kennt Magento bisher keine Angriffe auf Nutzer des Systems.

Laut Defensecode gibt es eine einfache Option, um die Angriffe zu verhindern. "Add Secret Key to URLs" muss aktiviert werden. Von Magento kommt dieser Tipp nicht. Im Sinne der Besucher von Magento-Shops sollten Administratoren schnell reagieren. Magento kommuniziert derartige Probleme oft nicht in dem Umfang, der notwendig wäre. Weder auf der Webseite noch auf dem Twitter-Account gibt es Hinweise auf die Sicherheitslücke.

Nachtrag vom 16. April 2017, 22:42 Uhr

Die Option "Add Secret Key to URLs" ist als Standard bei einer Magento-Installation aktiv. Betroffen sind also nur Konfigurationen, bei denen die Funktion deaktiviert wurde. Der Text wurde entsprechend aktualisiert.


eye home zur Startseite
as (Golem.de) 16. Apr 2017

Hallo, stimmt, danke für den Hinweis, ich aktualisiere das gleich. gruß -Andy (Golem.de)

Tigtor 16. Apr 2017

OK, danke für die info und frohe Ostern

elgooG 15. Apr 2017

Das dürfte das grundlegende Einmaleins bei Webservern sein, ist aber leider selbst bei...



Anzeige

Stellenmarkt
  1. Nash Direct GmbH, Harvey Nash Group, Stuttgart
  2. YASKAWA Europe GmbH, Eschborn bei Frankfurt am Main
  3. Robert Bosch GmbH, Stuttgart-Vaihingen
  4. Zühlke Engineering GmbH, Eschborn bei Frankfurt am Main


Anzeige
Spiele-Angebote
  1. 109,99€ mit Vorbesteller-Preisgarantie
  2. 2,99€
  3. 4,99€

Folgen Sie uns
       


  1. Sipgate Satellite

    Deutsche Telekom blockiert mobile Nummer mit beliebiger SIM

  2. Rockstar Games

    "Normalerweise" keine Klagen gegen GTA-Modder

  3. Stromnetz

    Tennet warnt vor Trassen-Maut für bayerische Bauern

  4. Call of Duty

    Modern Warfare Remastered erscheint alleine lauffähig

  5. Gmail

    Google scannt Mails künftig nicht mehr für Werbung

  6. Die Woche im Video

    Ein Chef geht, die Quanten kommen und Nummer Fünf lebt

  7. Hasskommentare

    Koalition einigt sich auf Änderungen am Facebook-Gesetz

  8. Netzneutralität

    CCC lehnt StreamOn der Telekom ab

  9. Star Trek

    Sprachsteuerung IBM Watson in Bridge Crew verfügbar

  10. SteamVR

    Valve zeigt Knuckles-Controller



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Mieten bei Ottonow und Media Markt: Miet mich!
Mieten bei Ottonow und Media Markt
Miet mich!
  1. Elektronikkonzern Toshiba kann Geschäftsbericht nicht vorlegen
  2. Zahlungsabwickler Start-Up Stripe kommt nach Deutschland
  3. Übernahmen Extreme Networks will eine Branchengröße werden

Qubits teleportieren: So funktioniert Quantenkommunikation per Satellit
Qubits teleportieren
So funktioniert Quantenkommunikation per Satellit
  1. Quantencomputer Ein Forscher in den unergründlichen Weiten des Hilbertraums
  2. Quantenprogrammierung "Die physikalische Welt kann kreativer sein als wir selbst"
  3. Quantenoptik Vom Batman-Fan zum Quantenphysiker

Skull & Bones angespielt: Frischer Wind für die Segel
Skull & Bones angespielt
Frischer Wind für die Segel
  1. Forza Motorsport 7 Dynamische Wolken und wackelnde Rückspiegel
  2. Square Enix Die stürmischen Ereignisse vor Life is Strange
  3. Spider-Man Superheld mit Alltagssorgen

  1. Re: Endlich neue Bugs

    Evron | 10:39

  2. Re: Taschenrechnerbug behoben?

    Evron | 10:37

  3. Überschrift sollte lauten - Asus erneuert Mobilen...

    derdiedas | 10:27

  4. Re: Verstehe ich nicht ganz

    bojenkommandant | 10:26

  5. Re: "G Suite scannt nicht für Anzeigen"

    bojenkommandant | 10:19


  1. 10:37

  2. 13:30

  3. 12:14

  4. 11:43

  5. 10:51

  6. 09:01

  7. 17:40

  8. 16:22


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel