Es gibt einen wichtigen Sicherheitspatch, der eine kritische Lücke mit der API beheben soll. Angreifer können mit REST oder SOAP Code ausführen und den Shop übernehmen. Betroffen sind sowohl die Enterprise- als auch die Communityversion. Version 2.0.6 enthält den Patch, der die Lücke schließt.
Darüber berichten Heise und The Register (UK). Der Entdecker der Lücke, Netanel Rubin in Israel, beschreibt in seinem Blog „0-Days and Life“ die Sicherheitsprobleme ausführlich.
(Bild: Magento Logo, Quelle: http://www.magentocommerce.com/company/media
This file is licensed under the Creative Commons Attribution-Share Alike 3.0 Unported license)
Neue Sicherheitspatches für Magento schließen teils kritische Lücken
Wie unter anderem heise.de berichtet, sind aktuelle Sicherheitspatches für das Onlineshop-System Magento erschienen. Die Sammlung an Patches mit der Bezeichnung SUPEE-7405, die direkt auf der Seite von Magento heruntergeladen werden kann, schließt auch Lücken, die als kritisch eingestuft worden sind. Angreifer können per Cross Site Scripting (XSS) Schadcode einschleusen und die Website kapern.
Daher empfiehlt Magento nun ausdrücklich die Verwendung der Versionen 1.9.2.3 (Community Edition, CE) beziehungsweise 1.14.2.3 (Enterprise Edition, EE). Die Versionen vorher sind von den Lücken betroffen.
Die anderen Sicherheitslücken, die durch SUPEE-7405 mitgeschlossen werden, sind zwar weniger drastisch, verdienen aber ebenso Aufmerksamkeit, damit Angreifer keine DDoS Attacken ausführen oder Userdaten einsehen können.
Sicherheitsupdate für Joomla – sehr wichtig
Wenn Sie Joomla einsetzen, führen Sie unbedingt sofort ein Update aus. Nutzen Sie die Version 3.4.6, mit der eine Sicherheitslücke gestopft wird. Auch die von goneo als clickStart Version eingesetzte Variante ist nun die mit der Versionsnummer 3.4.6.
Alte Versionen ab 1.5 sind durch die aktuell entdeckte Sicherheitslücke ebenfalls verwundbar. Es gibt Sicherheitspatches für Versionen, die End of Life – Status (EOL) haben, also nicht mehr weiterentwickelt werden. Diese sollte man als Seitenbetreiber, der Joomla einsetzt, dringend sofort einspielen.
In einer Ankündigung der Entwickler von Joomla heißt es, durch einen Fehler bei der Filterung von Browserinformationen kann fremder Code zur Ausführung gebracht werden. Die Dringlichkeit ist auf „hoch“ eingeschätzt worden.
Joomla 3.4.5 ist erschienen – und behebt eine kritische Sicherheitslücke
Das angekündigte Update für Joomla 3 ist erschienen. Es trägt die Versionsnummer 3.4.5. In dieser Version ist eine kritische Sicherheitslücke behoben worden, die bisher nach Auskunft von Joomla zu noch keinem großen Schaden geführt hat, aber das Potential dazu hat.
Über Github ist die neue Version verfügbar. Es gibt Downloads für frische Installationen und Updates für bestehende Versionen.
Über den integrierten Updater sollte sich die bestehende Version auf 3.4.5 komfortabel vornehmen lassen.
Joomla und auch wir von goneo empfehlen allen Nutzern von Joomla 3.2 oder höher eine schnellstmögliche Nutzung dieser Updatemöglichkeit. Jetzt, wo der Sicherheitspatch verfügbar ist, lässt sich auch erkennen, wo die Schwachstelle liegt und wie sie ausgenutzt werden kann. Es ist also damit zu rechnen, dass nun viele Hacker Skripte schreiben, die bestehende Joomla-Installationen auf Schwachstellen scannt und diese ausnutzt.
So funktioniert das Update am einfachsten:
Loggen Sie sich in Ihre Joomla-Installation ein (durch Anhängen von „administrator“ an die URL zu Ihrer Joomla-Website). Im Normalfall sehen Sie bereits nach dem Login auf dem Dashboard einen entsprechenden Hinweis:
Im Regelfall können Sie durch einen einfachen Klick die Installation des Updates ausführen lassen. Dies dauert nur wenige Sekunden (eventuell Minuten, je nach Internetverbindung und Auslastung der Downloadserver).
Danach sollten Sie die Erfolgsmeldung sehen:
Achtung Shopbetreiber: Lücke in xt:commerce
Sicherheitsunternehmen warnen aktuell vor einem Problem im Onlineshopsystem xt:commerce.
Betroffen ist die Version 4.1.00.
„Achtung Shopbetreiber: Lücke in xt:commerce“ weiterlesen