Sicherheitslücke im Onlineshop- System Magento entdeckt

(openPR) Seit heute hat BrainLogical Software Development eine schwere Sicherheitslücke in dem Onlineshop- System Magento entdeckt. Mit diesem Verfahren ist es möglich den bestehenden Benutzern im Backend- System den Zugriff temporär zu sperren. Sollte der Benutzer zu diesem Zeitpunkt keinen Zugriff auf sein Emailkonto haben, welches bei Magento hinterlegt wurde. Bleibt der Zugang solange gesperrt. Ermöglicht wir diese Lücke durch eine ungesicherte Funktion des Passwort- Resets. Viele Onlineshops werden in der Standardinstallation verwendet und die Emailadressen der Benutzer auch als Kontaktadresse im Impressum des Shops erwähnt. Somit stehen Störenfrieden alle benötigten Informationen zur Verfügung um einen erfolgreichen Passwort- Reset anzufordern. Leider wird seitens des Magentosystems die Funktion nicht durch einen Catchpa geschützt welches zumindest automatische Angriffe abwehren würde.

Lösung: Wir raten daher Shopbetreibern die Standardinstallation dahingehend abzuändern, das dass Backend nicht mehr über die Standard- URL erreichbar ist und auch die Emailadressen der Backenduser nicht zu publizieren bzw. separate Emailadressen (Aliase) zu verwenden.