CosmicSting: drei bis fünf Angriffe pro Stunde

Einen Monat nach dem Patch wird CosmicSting (CVE-2024-34102) aktiv ausgenutzt. Sansec beobachtete im Juli 2024 drei bis fünf Angriffe pro Stunde auf Magento-Shops. Die US-Behörde CISA hat die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Die Angreifer lesen über die Lücke den Verschlüsselungsschlüssel aus app/etc/env.php. Damit erzeugen sie ein Token für die Admin-API und ändern über die API CMS-Blöcke, die auf vielen Seiten eingebunden sind, etwa im Footer. Dort platzieren sie JavaScript, das im Checkout Zahlungsdaten abgreift. Mit demselben Zugang lassen sich auch Kundendaten auslesen oder Bestellungen anlegen.

• Unbekannte Integrationen oder Admin-Konten im Backend
• Fremdes JavaScript in CMS-Blöcken, CMS-Seiten oder in der Design-Konfiguration
• Zugriffe auf die REST-API mit ungewöhnlichen XML-Inhalten im Server-Log

1. Update: Auf eine Version vom 11. Juni 2024 oder neuer aktualisieren oder den isolierten Patch von Adobe einspielen (betroffene Versionen).
2. Schlüssel erneuern: Wer nicht in den ersten Tagen gepatcht hat, sollte den Verschlüsselungsschlüssel erneuern. Bestehende API-Tokens bleiben davon unberührt, deshalb zusätzlich unbekannte Integrationen löschen und Admin-Passwörter zurücksetzen.
3. Prüfen: CMS-Inhalte, Admin-Konten und Integrationen kontrollieren, bei Unsicherheit einen Malware-Scan durchführen lassen. Fragen Sie auch Ihren Hoster, ob er Auffälligkeiten sieht.

Inzwischen kombinieren Angreifer CosmicSting mit einer Lücke in der glibc (CNEXT, CVE-2024-2961) und können so Code auf dem Server ausführen und Hintertüren hinterlassen. Sansec zählte bis Oktober über 4.000 kompromittierte Shops, darunter Shops bekannter Marken.

Wenn Sie wissen möchten, ob Ihr Shop betroffen ist, schreiben Sie mir.

Quellen: Sansec: CosmicSting · CISA KEV. Stand: Juli 2024, Nachtrag Oktober 2024.