Cloud Services
Classified Cloud
Managed Services
Kubernetes
Öffentliche Verwaltung
Verteidigung & Raumfahrt
Sicherheitsbehörden
Gesundheitswesen
Regulierte Industrien
Kritische Infrastrukturen
Enterprise IT-Modernisierung
SaaS & digitale Plattformen
Cloud Services
Classified Cloud
Managed Services
Kubernetes
Die OXID eSales AG als Herstellerin der gleichnamigen und weitverbreiteten Shopsoftware kam vor kurzem auf uns zu, um Unterstützung beim Umgang mit einer neu entdeckten Sicherheitslücke zu erhalten. Wie auch schon bei der letzten größeren OXID-Sicherheitslücke war unser Security-Team gern bereit, unseren Partner auch dieses Mal wieder tatkräftig zu unterstützen.
Nachdem unser Security-Team die Details der potenziellen Lücke erhalten hatte, wurden im ersten Schritt mehrere Testinstallationen der Software mit unterschiedlichen Versionsständen eingerichtet, anhand derer ein funktionierender Proof of Concept erarbeitet werden konnte. Darüber hinaus wurde geprüft, welche temporären Gegenmaßnahmen die nun reproduzierbare Schwachstelle eindämmen würden. Das Ergebnis ist eine kurze ModRewrite-Regel, die das Schlimmste verhindern sollte, bis die neu veröffentlichte OXID-Version 6.0.5 oder 6.1.4 eingespielt worden ist. Diesen vorläufigen Schutz haben die Mitarbeiterinnen und Mitarbeiter unseres Operations-Teams im Anschluss bei unseren eigenen OXID-Kunden ausgerollt.
Auf der Webseite zur aktuellen Sicherheitslücke findet sich derzeit eine abgewandelte Form der von uns bereitgestellten ModRewrite-Regel. Wir raten jedoch zur von uns erarbeiteten Variante, da diese nach internen Tests zu weniger Overblocking führt:
RewriteCond %{QUERY_STRING} (^|&)sorting=[^&]*[^a-z&] [NC]
RewriteRule ^ - [F]
Wir freuen uns über die vertrauensvolle Zusammenarbeit sowie darüber, einen kleinen Beitrag zur Verbesserung der Sicherheit von OXID-Webshops im Internet geleistet zu haben.
Sollten Sie ebenfalls Unterstützung beim Betrieb Ihres OXID-Webshops benötigen, wenden Sie sich gern jederzeit an sales@syseleven.de oder rufen Sie uns an unter 030 233 2012 20.
