CosmicSting (CVE-2024-34102): kritische Lücke in Magento 2

Am 11. Juni 2024 hat Adobe mit dem Sicherheitsbulletin APSB24-40 eine kritische Lücke in Magento 2 und Adobe Commerce geschlossen. Sie hat die Kennung CVE-2024-34102, eine Bewertung von 9,8 (CVSS 3.1) und ist unter dem Namen CosmicSting bekannt geworden.

Schnelltest: Ist Ihr Shop betroffen?

Es handelt sich um eine XXE-Lücke (XML External Entity) in der REST-API. Ein Angreifer braucht dafür kein Konto im Shop. Über die Lücke lassen sich Dateien vom Server lesen, darunter app/etc/env.php mit den Datenbank-Zugangsdaten und dem Verschlüsselungsschlüssel des Shops. In Verbindung mit weiteren Schwachstellen ist auch das Ausführen von Code auf dem Server möglich.

• 2.4.7 (geschlossen ab 2.4.7-p1)
• 2.4.6-p5 und älter (geschlossen ab 2.4.6-p6)
• 2.4.5-p7 und älter (geschlossen ab 2.4.5-p8)
• 2.4.4-p8 und älter (geschlossen ab 2.4.4-p9)

Shops auf noch älteren Versionen bekommen von Adobe keine Updates mehr und sind ebenfalls betroffen.

Adobe hat am 27. Juni 2024 zusätzlich einen isolierten Patch veröffentlicht, der nur diese Lücke schließt. Er lässt sich auch dann einspielen, wenn ein vollständiges Versions-Update erst später möglich ist. Als Notlösung für wenige Tage hat Sansec außerdem einen kurzen Code-Schnipsel veröffentlicht, der die bekannten Angriffe blockiert. Er ersetzt den Patch nicht.

Wer erst einige Tage nach dem 11. Juni gepatcht hat, sollte davon ausgehen, dass der Verschlüsselungsschlüssel bekannt sein könnte. Dann reicht das Update allein nicht:

• Verschlüsselungsschlüssel erneuern und den alten ungültig machen
• Admin-Passwörter zurücksetzen, unbekannte Admin-Konten und API-Integrationen löschen
• CMS-Blöcke und -Seiten auf eingeschleustes JavaScript prüfen

Ich spiele Patches in den Shops ein, die ich betreue, und prüfe auf Wunsch auch fremde Shops. Schreiben Sie mir, welche Version Sie einsetzen.

Quellen: Adobe APSB24-40 · Sansec: CosmicSting. Stand: Juni 2024, Patch-Hinweise ergänzt im Juli 2024.