Eine kritische Schwachstelle namens StyleSmuggler erschüttert die Welt der Online-Shops, die auf Adobe Commerce und Magento basieren. Diese Zero-Day-Sicherheitsanfälligkeit ermöglicht die Ausführung von Code aus der Ferne ohne Authentifizierung und öffnet die Tür zu einem heimtückischen Hintertürchen auf Linux. Kaum entdeckt, zwingt sie zu sofortigem Handeln angesichts der erheblichen Einbruchsgefahr.
Eine StyleSmuggler-Schwachstelle, die Magento und Adobe Commerce erschüttert
Identifiziert von dem Sicherheitsunternehmen Sansec Anfang September, betrifft StyleSmuggler alle Versionen von Magento und Adobe Commerce, einschließlich der vollständig aktuellen Versionen. Der Angriff nutzt eine Schwäche in ihrem Template-System aus. Durch einen Trick der Injektion in CSS-Eigenschaften gelingt es den Hackern, bösartigen PHP-Code aus der Ferne und ohne jegliche Interaktion mit dem Opfer auszuführen.
Diese Manipulation erfolgt beim Generieren eines Fehlerberichts oder einer Benachrichtigung über eine transaktionale E-Mail, die für den Benutzer oft unsichtbar ist. Das Schlimmste? Das System führt diesen Code ohne jegliche Kontrolle aus und öffnet weit eine Hintertür auf dem Linux-Server, der den Shop hostet.
Wie funktioniert der StyleSmuggler-Exploits im Hintergrund?
Einfach, aber clever, injiziert der Exploit bösartigen Code in die von Magento verwendeten CSS-Stile. Dieser „Trick“ umgeht die Standard-Schutzmechanismen, die normalerweise gefährlichen Code blockieren. Beispielsweise erstellt die Manipulation einen Fehlerbericht, der das PHP-Payload enthält, das später beim Versenden einer E-Mail ausgeführt wird.
Der Prozess ähnelt einem gut geölten Mechanismus: Zuerst wird der bösartige Code im System „vergiftet“. Dann wird Magento automatisch ausgelöst, wenn es die Benachrichtigungen bearbeitet. Wie ein schlecht eingestellter Kessel, der ohne Vorwarnung heißläuft, wird der Angriff ohne äußere Intervention ausgelöst.
Ein in Rust subtil verstecktes Hintertürchen unter den Linux-Prozessen
Nach der Ausnutzung der Schwachstelle hinterlegen die Angreifer ein in Rust geschriebenes Hintertürchen, was für diese Art von Ausstattung eher selten und clever ist. Diese Hintertür läuft im Hintergrund mit überzeugenden Prozessnamen wie [kworker/u:8:0], fc-cache oder chronyd. Sie springt nicht sofort ins Auge, ganz im Gegenteil.
Die ausgehende Kommunikation ist ebenso raffiniert. Die Malware tarnt ihre Kommunikation mit dem Command-and-Control-Server als normalen NTP-Verkehr (Network Time Protocol). Diese Tarnung erschwert die Erkennung durch klassische Netzwerküberwachungstools erheblich.
Risiken und Folgen für die betroffenen Online-Shops
Diese Kompromittierung ist weit mehr als ein einfacher „Hacking-Streich“: Sie eröffnet den Weg zu einem vollständigen und beständigen Zugriff auf den Server. Von der Entwendung sensibler Daten bis hin zu Fernmanipulationen sind die Bedrohungen vielfältig. In einer Umgebung, in der Zahlungen und Kundeninformationen fließen, kann diese Art von Hintertür ernsthaften Schaden anrichten.
Seltsamerweise wurden bisher keine massiven nachträglichen Exploit-Aktivitäten festgestellt. Aber die Präsenz dieser Hintertür gibt den Angreifern einen Hebel für zukünftige Aktionen, die auf die kleinste Gelegenheit lauern, um ihre Kontrolle auszuweiten.
Unverzichtbare Maßnahmen zur Eindämmung des StyleSmuggler-Vorfalls
Die erste Dringlichkeit besteht darin, umgehend den offiziellen Patch anzuwenden, der von Adobe am 7. September veröffentlicht wurde. Auch wenn die Schwachstelle vorher ausgenutzt wurde, ist der Patch nun die wesentliche Barriere gegen jede neue Eindringung.
Danach sollte eine eingehende Analyse der Systeme durchgeführt werden, um mögliche bestehende Infektionen zu erkennen. Die Überwachung muss auf verdächtige Systemprozesse und Unregelmäßigkeiten im Netzwerkverkehr, insbesondere bei NTP-Kommunikationen, verstärkt werden.
Ein guter alter Rat: Schlüssel und Identifikatoren rotieren
Adobe empfiehlt unter anderem, eine vollständige Rotation der Verschlüsselungsschlüssel und Administratorpasswörter durchzuführen. Wenn die Tür offen gelassen wurde, ist es besser, das Schloss und die Schlüssel zu wechseln.
Es ist auch entscheidend, aufmerksam auf ungewöhnliche Anstiege bei transaktionalen E-Mails zu achten, die Zahlungsfehler anzeigen. Diese Signale können auf einen laufenden Exploit und ein weiterhin aktives Hintertürchen auf dem Server hinweisen.
Um ein besseres Verständnis kritischer Schwachstellen auf Linux und deren Auswirkungen zu erlangen, sind detaillierte Analysen auf spezialisierten Plattformen wie IT Connect oder im Bericht von Sansec, der den Mechanismus dieses Angriffs beschreibt, auf ihrer offiziellen Website einsehbar.
Was ist die Schwachstelle StyleSmuggler?
StyleSmuggler ist eine kritische Zero-Day-Sicherheitsanfälligkeit, die Adobe Commerce und Magento betrifft und die Ausführung von Code aus der Ferne ohne Authentifizierung ermöglicht.
Wie wird die Hintertür auf Linux verborgen?
Die Hintertür ist ein in Rust geschriebenes Programm, das sich als legitime Systemprozesse ausgibt und seine Kommunikation als NTP-Verkehr tarnt.
Was sind die Anzeichen einer StyleSmuggler-Kompromittierung?
Ein abnormer Anstieg von E-Mails zu Zahlungsfehlern und die Präsenz verdächtiger Prozesse wie [kworker/u:8:0] können auf eine Infektion hinweisen.
Was tun im Falle einer Exposition gegenüber dieser Schwachstelle?
Sofort den Adobe-Patch anwenden, den Server auf Infektionen analysieren und dann die Rotation von Schlüsseln und Administratorpasswörtern durchführen.
Zielt die Schwachstelle StyleSmuggler auf alle Versionen von Magento ab?
Ja, alle Versionen, auch die aktuellen, sind von dieser kritischen Sicherheitsanfälligkeit betroffen.
Quelle: www.generation-nt.com
