CVE-2022-24086: Sicherheitswarnung für Websites mit Magento Ecommerce

Seit seiner ersten Veröffentlichung im Jahr 2008 ist Magento eine weit verbreitete und beliebte E-Commerce-Plattform. Besonders schätze ich an Magento, dass die Plattform mit dem Wachstum von E-Commerce-Unternehmen mitwachsen kann. Magento startete als selbst gehostete Version, die ich im Laufe der Jahre häufig als Entwickler genutzt habe. Heute bietet Magento klare Support- und Verwaltungsoptionen über Adobe oder Partner im Drittanbieter-Ökosystem.

Laut Wappalyzer nutzen derzeit 158.000 Websites Magento für ihre E-Commerce-Lösungen. Globale Marken wie Coca-Cola und Olympus sowie legendäre Autohersteller wie Land Rover setzen Magento für ihre Online-Shopping-Angebote ein.

Magento wird unter der Lizenz OSL (Open Software License) 3.0 veröffentlicht und befindet sich derzeit in Version 2.0 seines SDLC. Die Plattform wird in zwei Hauptvarianten angeboten.

• Magento Open Source, früher als CE (Community Edition) bekannt. Diese Version wird zwar von Adobe und Magento unterstützt, aber größtenteils von der Community und dem Magento-Ökosystem betreut.

• Magento Enterprise, jetzt Adobe Commerce genannt. Dieses Angebot wird von Adobe verwaltet und umfasst verschiedene Stufen von Support und Verwaltung durch Adobe.

Im Laufe der Jahre gab es bei Magento immer wieder Sicherheitslücken. Das Unternehmen reagiert sehr proaktiv mit Sicherheitswarnungen, Patches und Fehlerbehebungen, wenn neue Sicherheitslücken entdeckt werden. Am 14. Februar wurde die kritische Sicherheitslücke CVE-2022-24086 aufgrund einer fehlerhaften Eingabevalidierung bekannt. Betroffen sind Magento Open Source und Adobe Commerce in Versionen ab 2.3.4 und vor 2.4.3-p1 beziehungsweise 2.3.7-p2. 

Die Magento-Sicherheitslücke CVE-2022-24086 verstehen

Die Sicherheitslücke entsteht durch eine fehlerhafte Validierung während des Checkout-Prozesses. Dadurch können Angreifer Eingabevalidierungen umgehen, die normalerweise unerwünschte Eingabetypen bereinigen.

Der Angriffsvektor von CVE-2022-24086 ermöglicht SQL- und PHP-Objekt-Injection-Angriffe auf Magento. Damit können unerwünschte Datenbankeinträge erstellt oder Remotecodeausführung ermöglicht werden.

In der Anwendungssicherheit haben wir erlebt, dass eine fehlerhafte Eingabevalidierung schwerwiegende Folgen haben kann. Erkennt die Plattform bei der Formularvalidierung bestimmte Kombinationen von Zeichentypen nicht, können schädliche Zeichenfolgen ungehindert Schaden anrichten.

Wenn Sie fehlerhafte PHP-Validierung selbst praktisch ausprobieren möchten, sehen Sie sich die Snyk-Labs-App PHP-Goof auf GitHub an.

Den Fix implementieren

Magento ist eine dieser Plattformen beziehungsweise Frameworks mit einer besonders starken Community und einem starken Ökosystem. Immer wieder haben wir erlebt, wie sich die Community zusammenschließt, um in solchen Fällen gemeinsam Fixes bereitzustellen.

Der von Magento bereitgestellte Patch aktualisiert die Bereinigungsmethode Filter.php in der öffentlichen Funktion transDirective im Verzeichnis /Email/Model/Template und ergänzt ein neues Regex-Muster zum Abfangen problematischer Eingaben.

Zusätzlich ändert der Patch auch die Datei VarDirective.php im Core-Framework und ergänzt dort dasselbe Regex-Muster zum Abfangen problematischer Eingaben.

Der offizielle Adobe-Patch kann dem PHP-Composer-Paketmanifest hinzugefügt oder direkt auf die geforkte Codebasis angewendet werden. Denken Sie daran, Patches vor der Bereitstellung in der Produktionsumgebung stets in einer Staging- oder Entwicklungsumgebung zu testen und immer sichere Backups anzulegen.

Probleme automatisch mit Snyk erkennen

Sicherheit ist immer wichtig, insbesondere wenn es um sensible Kundendaten und Finanztransaktionen geht. Snyk bietet verschiedene Möglichkeiten, mit dem Scannen von Magento zu beginnen – je nachdem, wie Sie Magento installiert haben.

Am häufigsten empfohlen und genutzt wird die PHP-Composer-Methode. Damit lassen sich auch Add-ons und Plugins aus dem Magento-Ökosystem problemlos aktualisieren. Das PHP-Composer-Paketmanifest kann ganz einfach mit Snyk gescannt werden, um fortlaufend Sicherheitslücken in Bibliotheken und Abhängigkeiten wie CVE-2022-24086 zu erkennen.

Magento kann auch aus dem Git-Repository geklont oder geforkt werden. Das ist besonders hilfreich, wenn Sie selbst Beiträge einbringen möchten – was immer empfehlenswert ist – oder Ihre Bereitstellung aus einem Repository erfolgen muss.

Snyk lässt sich mit mehreren Repository-Plattformen verbinden und in zahlreiche CI/CD-Dienste integrieren, die nach IaC-Sicherheitslücken suchen.

Ein Scandienst benachrichtigt Sie über neu auftretende Sicherheitslücken und hilft Ihnen, Ihre Plattform, Infrastruktur und Kunden vor Angriffen zu schützen.