Die Zero-Day-Schwachstelle StyleSmuggler bedroht Magento- und Adobe-Commerce-Shops. Ein Patch fehlt, während Sansec bereits laufende Angriffe beobachtet.
Sicherheitslücke bei Magento
Eine bislang ungepatche Sicherheitslücke wurde bei Magento und Adobe Commerce entdeckt. Die niederländische Cybersecurity-Firma Sansec entdeckte und warnte vor der Schwachstelle. Sie veröffentlichte ihre Erkenntnisse am 5. September und erklärte, dass die Lücke aktiv ausgenutzt werde. Angriffe seien bereits auf den 4. September zurückzuverfolgen.
Sansec bezeichnet die Lücke als „StyleSmuggler". Der Name verweist auf die Angriffstechnik: Schadcode wird über Style-Eigenschaften eingeschleust. Angreifer können den Angaben zufolge ohne Anmeldung Code auf den betroffenen Servern ausführen und dort eine Hintertür einrichten. Damit erhalten sie potenziell dauerhaften Zugriff auf das Shopsystem.
Aktuelle Versionen betroffen
Laut Sansec sind alle aktuellen Versionen betroffen. Dazu zählt demnach auch Magento 2.4.9. Ebenso gefährdet seien Installationen, die mit den neuesten Sicherheitsaktualisierungen aus Juli und August versehen wurden. Adobe hatte zum Zeitpunkt des Berichts noch nicht konkret bestätigt, welche Adobe-Commerce-Versionen betroffen sind.
Ein Sicherheitsupdate, ein offizielles Advisory von Adobe und eine CVE-Nummer lagen zunächst nicht vor. Offen war außerdem, ob Adobe die Schwachstelle beim nächsten angekündigten Patchday am 8. September schließen würde.
Auswirkungen und vorübergehende Maßnahmen
Die Sicherheitslücke könnte von Unbefugten dafür genutzt werden, die Server komplett zu übernehmen. Für Shopbetreiber ist das ein großes Risiko, weil es den Betrieb massiv stören kann und sensible Unternehmensdaten gestohlen werden könnten. Für deren Kunden besteht die Gefahr, dass vertrauliche Informationen wie Zahlungs- oder persönliche Daten durch die Angreifer abgefangen werden.
Auch wenn Shopbetreiber unsicher sind, ob ihr Shop aktiv angegriffen wurde, sollten sie proaktiv handeln. Shopbetreiber sollten ihren Kunden transparent mitteilen, welche konkreten Daten betroffen sein könnten und welche Maßnahmen zur Behebung der Sicherheitslücke ergriffen wurden. Das lässt sich mit einer E-Mail oder mit Hinweisen auf dem Shop schnell umsetzen. Zudem ist solch eine Benachrichtigung immer dann gesetzlich verpflichtend gemäß Art. 34 DSGVO, wenn durch ein solches Datenleck ein hohes Risiko für die Betroffenen besteht.
Bis ein Patch verfügbar ist, empfiehlt Sansec Shopbetreibern, GraphQL vorübergehend zu deaktivieren, sofern dies ohne erhebliche betriebliche Einschränkungen möglich ist. Zusätzlich sollten betroffene Systeme auf Hinweise einer Kompromittierung untersucht werden.
Als möglichen Indikator nennt Sansec unerwartete PHP-Dateien im Media-Verzeichnis. Auch ein ungewöhnlich hohes Aufkommen von E-Mails mit dem Betreff oder Inhalt „Payment Transaction Failed Email" könne auf eine Ausnutzung hindeuten. Sansec und der Hosting-Anbieter Disrex haben Listen mit sogenannten Indicators of Compromise veröffentlicht, die bei der Prüfung der Systeme herangezogen werden können.