GraphQL temporär deaktivieren und Systeme auf Kompromittierungen untersuchen, bis ein offizieller Patch verfügbar ist.
Wird laut Meldung tatsaechlich ausgenutzt: aktiv ausgenutzt+12
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Zero-Day-Lücke StyleSmuggler in Magento und Adobe Commerce wird aktiv ausgenutzt
Eine Zero-Day-Lücke namens "StyleSmuggler" in Magento und Adobe Commerce wird aktiv ausgenutzt, wodurch Angreifer Schadcode auf Servern betroffener Onlineshops ausführen können. Alle aktuellen Versionen sind betroffen, und es gibt noch keinen offiziellen Patch. Shop-Betreiber sollten GraphQL temporär deaktivieren und ihre Systeme auf Kompromittierungen untersuchen, bis eine Lösung verfügbar ist.
SecBoard-Einordnung
Die aktive Ausnutzung ermöglicht Angreifern die Ausführung von Schadcode auf den Servern, was zu einer vollständigen Kompromittierung der Onlineshops führen kann.
Realistisch schlimmster Fall: Angreifer können vollständige Kontrolle über den Onlineshop erlangen, sensible Kundendaten stehlen, Finanztransaktionen manipulieren oder den Shop für weitere Angriffe missbrauchen.
Betroffen
Betroffen sind Betreiber von Onlineshops, die Magento oder Adobe Commerce in allen aktuellen Versionen nutzen.
Prüfen
3- ▸Überprüfen Sie, ob GraphQL in Ihren Magento- oder Adobe Commerce-Installationen aktiviert ist.
- ▸Suchen Sie nach ungewöhnlichen PHP-Dateien, insbesondere im Medienverzeichnis Ihrer Magento- oder Adobe Commerce-Installationen.
▸ 1 weitere▾ weniger
- ▸Überwachen Sie Ihre Systeme auf Indikatoren für Kompromittierungen, wie z.B. eine Zunahme von 'Payment Transaction Failed'-E-Mails, die auf manipulierte Transaktionen hindeuten könnten.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Der genaue Mechanismus der Ausnutzung der StyleSmuggler-Lücke ist im Artikel nicht detailliert beschrieben.
- ▸Es wird nicht spezifiziert, welche spezifischen Versionen von Magento und Adobe Commerce betroffen sind, außer 'alle aktuellen Versionen'.
- ▸Es gibt keine Informationen über die Herkunft oder Identität der Angreifer.
- ▸Es gibt keine Informationen über spezifische IOCs (Indicators of Compromise) außer 'ungewöhnliche PHP-Dateien im Medienverzeichnis' oder 'Zunahme von "Payment Transaction Failed"-E-Mails'.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Sind wir hiervon betroffen — und können wir es detektieren?
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„establish backdoors without authentication“
„Angreifer können dadurch Schadcode auf Servern betroffener Onlineshops ausführen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- The Hacker NewsKontextUnpatched Magento and Adobe Commerce Zero-Day Exploited to Backdoor Online Stores
- SecurityWeekKontextAdobe Commerce Zero-Day Exploited to Backdoor Online Stores
- heise SecurityKontextZero-Day-Lücke StyleSmuggler in Magento und Adobe Commerce wird aktiv ausgenutzt
Der Vorgang wird seit 2 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.