- Anzeigen -


Sie sind hier: Home » Virenwarnung » Sicherheitslecks

XSS-Schwachstellen bei Open-Source-Software


Nutzer des Shopsystems "Zen Cart" sollten dringend die neue Version 1.5.5 installieren
Von den Sicherheitslücken betroffen sind Zen Cart 1.5.4 und eventuell frühere Versionen - und zwar in allen zur Verfügung stehenden Sprachen

- Anzeigen -





Das SpiderLabs-Team des Sicherheits-Experten Trustwave hat mehrere Cross-Site-Scripting-Schwachstellen bei der beliebten Onlineshop-Software Zen Cart aufgedeckt. Durch diese Schwachstellen gelangen Cyber-Kriminelle ganz einfach an vertrauliche Nutzerdaten. Trustwave hat sich umgehend mit Zen Cart in Verbindung gesetzt und zusammen mit dem Softwareanbieter an einer Lösung des Problems gearbeitet. Nutzer des Shopsystems Zen Cart sollten dringend die neue Version 1.5.5 installieren.
Von den Sicherheitslücken betroffen sind Zen Cart 1.5.4 und eventuell frühere Versionen - und zwar in allen zur Verfügung stehenden Sprachen. Betroffen ist vor allem der Admin-Bereich der Open-Source-Software. Durch die XSS-Schwachstellen ist es für Cyber-Kriminelle ein Leichtes, Java-Script-Inhalte in eine Webseite zu integrieren, die im schlimmsten Fall einen vollen Zugriff auf alle Cookies und auf die in der Webseite eingetragenen Nutzerdaten bieten. Die gestohlenen Informationen können so ganz leicht für weitere Angriffe missbraucht werden.

Forscher des Trustwave SpiderLabs-Teams haben mit Hilfe der Applikation Trustwave App Scanner mehrere Hundert Webseiten durchforstet. Dank der verbesserten Cross-Site-Scripting-Erkennung des Trustwave App Scanners lief die Überprüfung nach einem einmaligen Inital-Scan automatisiert.

Gleich nach der Aufdeckung der Sicherheitslücken setzte sich Trustwave mit Zen Cart in Verbindung. In enger Zusammenarbeit mit Zen Cart fanden die Forscher des Trustwave SpiderLabs-Team eine Lösung. Dabei hat Trustwave unter anderem auch die von Zen Cart zur Verfügung gestellten Patches geprüft und den Hersteller laufend über weitere Probleme informiert. (Trustwave: ra)

Trustwave: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Sicherheitslecks

  • Open Source-Software: Sicher für Unternehmen?

    Das Secure Copy Protocol (SCP) ist ein Protokol zur verschlüsselten Datenübertragung und soll so mehr für Sicherheit tragen. Nun hat eine neue Studie ergeben, dass mehrere Schwachstellen in verschiedenen SCP-Anwendungen gefunden wurden und zeigt, dass SCP möglicherweise nicht so sicher ist, wie man denkt. Die von Harry Sintonen, Senior Security Consultant bei F-Secure, durchgeführte Studie identifizierte Schwachstellen in den Anwendungen WinSCP, Putty PSCP und OpenSSH. Harry Sintonen erstellte einen Proof-of-Concept für den Angriff, mit dem er Dateien im SCP-Zielverzeichnis des Clients unbemerkt schreiben/überschreiben, die Berechtigungen des Verzeichnisses ändern und die Ausgabe des Clients manipulieren kann. Ein Angreifer kann die Schwachstellen ausnutzen, um eine Hintertür oder andere Malware in ein Unternehmensnetzwerk zu installieren, vertrauliche Informationen zu stehlen oder praktisch jede andere Aktion nach der Infiltration durch zu führen.

  • Geleakte Produktionsdaten identifizieren

    Trend Micro warnt Unternehmen vor möglichen Sicherheitslücken in ihrer Betriebstechnologie (Operational Technology, OT). Forscher des japanischen IT-Sicherheitsanbieters entdeckten massive Schwachstellen und gefährdete Anwendungen von zwei weit verbreiteten Protokollen für die Machine-to-Machine-Kommunikation (M2M-Kommunikation). Betroffen sind die Protokolle Message Queuing Telemetry Transport (MQTT) und Constrained Application Protocol (CoAP). Sie werden in einem neuen Forschungsbericht, The Fragility of Industrial IoT's Data Backbone, beschrieben, der in Zusammenarbeit mit der Polytechnischen Universität Mailand entstand. Darin weisen die Forscher auch auf die wachsende Bedrohung durch den Missbrauch dieser Protokolle für Zwecke der Industriespionage, Denial-of-Service-Attacken und zielgerichtete Angriffe hin.

  • Kontrolle über ein betroffenes System

    Microsoft gönnt allen IT-Verantwortlichen im Oktober eine kleine Verschnaufpause - zumindest, was die aktuellen Updates anbetrifft. Zum Patch Tuesday vermeldet Redmond gerade einmal einen Zero Day Exploit und eine Schwachstelle, die öffentlich bekannt gegeben wurde. Und was noch erstaunlicher ist: Es gab in diesem Monat kein einziges Sicherheitsupdate für Adobe Flash. Die Zero-Day-Schwachstelle CVE-2018-8453 findet sich in der Win32-Komponente des Microsoft-Betriebssystems, bei der Objekte im Arbeitsspeicher nicht ordnungsgemäß behandelt werden. Ein Angreifer muss sich zunächst am Betriebssystem anmelden, kann dann aber diese Schwachstelle ausnutzen, um Code im Kernel auszuführen und Administratorrechte zu erhalten. Diese Schwachstelle hat einen Basis-CVSS-Wert von 7. Unglücklicherweise ist sie in allen Betriebssystemen mit Updates vorhanden - angefangen von Server 2008 bis hin zu Windows 10.

  • Nutzer sollten ihre Whatsapp-Version überprüfen

    Eine Sicherheitslücke in Whatsapp kann derzeit nur die App zum Absturz bringen. Kriminelle könnten den kursierenden Exploit aber für bösartige Zwecke weiterentwickeln. Wir geben einen Überblick über die Situation. "Nutzer sollten ihre Whatsapp-Version überprüfen und wenn möglich die Updates über den Play Store einspielen." Das sagt Alexander Burris, Lead Mobile Researcher bei der G DATA Software AG aus Bochum. Aktuell kursiert eine Sicherheitslücke für den beliebten Mobile-Messenger Whatsapp. Der aktuelle Exploit bringt die Applikation kontrolliert zum Absturz. Kriminelle könnten die Schwachstelle für ihre Zwecke weiterentwickeln und als Einfallstor nutzen.

  • Offene und ungeschützte MQTT-Server

    Avast hat entdeckt, dass über 49.000 Message Queuing Telemetry Transport (MQTT) Server aufgrund eines falsch konfigurierten MQTT-Protokolls online öffentlich sichtbar sind. Darunter befinden sich 32.000 Server ohne Passwortschutz - davon 1.719 in Deutschland - wodurch die Gefahr eines Datenmissbrauchs steigt. MQTT-Protokolle werden genutzt, um Smart-Home-Geräte über Smart Hubs miteinander zu verbinden und zu steuern. Beim Implementieren des MQTT-Protokolls richten Nutzer einen Server ein. Dieser Server befindet sich bei Endverbrauchern üblicherweise auf einem PC oder einem Mini-Computer wie dem Raspberry Pi, mit dem sich Geräte verbinden und damit kommunizieren können.