Kritische Sicherheitslücke in allen Modified Versionen

[fishnet]

Einen Shop administriere ich in dem shop...smile...  deshalb hab ich ja überall edit knöpfe, auch im product listing... dass es eben flüssig geht...  

Ich habe am linken Bildschirm einen Browser offen mit dem Admin und im rechten Bildschirm einen anderen Browser mit dem Frontend. Funktioniert total flüssig. Aber jeder wie er will. Dann wirst du mit dem Risiko leben müssen.
Übrigens würde ich nicht beschwören das andere Shopsysteme diesbezüglich sicherer sind.

[fishnet]

werden die Produktbilder nicht von imagemagick zerhäckselt und ist somit nicht alles gut ( jedenfalls bei imageprocessing Bildern ) ??
Werden somit nicht nur die per FTP hochgeladenen Bilder kritisch ?
Und eben original_images ?

So, habe ich inzwischen auch geklärt, der Imageprocessor übernimmt den Schadcode. D.h. es betrifft auch die vom Shop erstellten Bilder.
Wir schauen uns das die Tage mal an. Eventuell gibt es hier die Möglichkeit, einzugreifen.

[webald]

Habe das gerade auch mal getestet. Es gibt ja Programme zum Signieren von Bildern. Mein Test hat ergeben, dass bei einer Änderung der Bildgröße die Signatur erhalten bleibt. Sie bleibt auch erhalten, wenn man das Bildformat ändert. Ich hatte ein signierte Jpg als png gespeichert und in einem Anderen Programm wieder von png auf jpg. Die Signatur blieb.

Mir war das Ausmaß so noch nie bewußt, und die erste Maßnahme muss sein, zu prüfen, ob der eigene Rechner von einem Virescanner geschützt wird, der Schadcode in Bilder überhaupt erkennt.

Der nächste ist dann wohl die Suche nach einer Firewall, die da schon vor meinem Rechner/Netzwerk eingreifen kann. Kennt da einer was?

Das nächste auf das ich gestoßen bin ist der Cache des Shops. Ist der eigentlich vor Manipulation geschützt?

Wenn nun einer meint, dass ich mit irgendwas hier Leute auf Ideen bringen kann oder aus Versehen eine Lücke genannt habe, dann informiert bitte sofort die Moderatoren und löscht den Beitrag!

[fishnet]

Ich denke das der geneigte Leser sich das schon selbst ausmalen kann.
Mal sehen, denke das kann man hinkriegen, das der Imageprocessor den Header entfernt. Wenn jemand heute oder morgen Zeit hat und somit schneller wäre als wir: gerne.

[Gradler]

Gibt es überhaupt einen zuverlässigen Virenscanner der die Bedrohung erkennt? Soweit ich weiß schlägt der Virenscanner nur an, wenn man so ein infiziertes Bild öffnet.

Das würde bedeuten, daß z.B. beim Szenario Bilder vom Großhändler im Shop übernehmen auch der Umweg Bilder zuerst auf den eigenen Rechner zu laden und dann in den Shop der gescannte Bilderordner als nicht infiziert dastehen würde.

Oder liege ich da falsch?

[burrito]

Der nächste ist dann wohl die Suche nach einer Firewall, die da schon vor meinem Rechner/Netzwerk eingreifen kann. Kennt da einer was?

Woher soll die Firewall wissen, dass der Request nicht von Dir, sondern von einem infizierten Link stammt, wenn sie nicht auf Deinem Rechner sitzt? Aber selbst, wenn die Firewall auf Deinem Rechner sitzt, kann sie nicht unterscheiden, ob Du dem Link, den Du per Mail bekommen hast, nun wirklich folgen möchtest oder nicht.

Also wie gesagt: Ich würde den Angriff per Social-Engineering über einen in einer Mail versandten Link machen. Das ist technisch viel einfacher, als ein Bild zu manipulieren. Zudem kann ich dem User den Link auch leichter unterjubeln, als wenn ich ihm erst mal ein infiziertes Bild liefern muss.

Mehr möchte ich zu dieser Methode jedoch nicht mehr erläutern, da sie wirklich von jedem Depp gemacht werden kann.

Gibt es überhaupt einen zuverlässigen Virenscanner der die Bedrohung erkennt? Soweit ich weiß schlägt der Virenscanner nur an, wenn man so ein infiziertes Bild öffnet.

Das kommt auf die Einstellungen des Virenscanners an. Normalerweise kannst Du ihn so einstellen, dass er jede Datei scannt, sobald Du einen Schreib- oder Lesezugriff hast. Schon beim Herunterladen sollte aus zwei Gründen gescannt werden:
1. Der Datei-Ursprung ist außerhalb des LANs.
2. Du machst einen Schreibzugriff auf die Datei.

burrito

[mei chan]

hm sofern es nur um die img tags geht, könnte man doch einfach alle tags z.B. mit irfanview entfernen, dann könnte doch nichts infiziert werden oder?

[WayneTsun]

Hallo zusammen!

Das ist ja nun alles recht schön mit den Bildern und den ganzen Szenarios unter denen man eventuell und womöglich irgendwelchen Schadcode abbekommen könnte.

Hat das aber jetzt etwas mit dem ursprünglichen Thread und mit dem Hinweis von Tomcraft http://www.modified-shop.org/forum/index.php?topic=31955.msg291181#msg291181 bzw. GTB http://www.modified-shop.org/forum/index.php?topic=31955.msg291261#msg291261 zu tun, dass sehr viele Dateien geändert werden müssten und dass man das noch testen würde?

Ich bin jedenfalls etwas verwirrt, sorry. 

Beste Grüße,
Wayne

[GTB]

Jetzt ist aber mal gut mit der Panikmache.

Wenn ihr meinen Rat befolgt, dem sollte nichts passieren. Einen Fix für die bisherigen Versionen werden wir vorerst nicht veröffentlichen, da es zu weitreichende Anpassungen sind und mit den von mir gegebenen Hinweisen kein Problem gibt.

Wer Bilder von einer nicht vertrauenswürdigen Quelle verwendet muss damit rechnen, dass es auch böse Buben/Mädchen gibt die an die Daten des Shops wollen. (ohne zu sagen, dass sie selber Schuld sind)

Hier im Thread geht es um die das Problem mit dem Admin. Wenn ihr euch mit der Problematik bei Bildern auslassen wollt, dann macht dafür bitte ein eigenes Thema auf.

Gruss Gerhard

[WayneTsun]

Hallo Gerhard,

vielen Dank für die Klärung! 

Beste Grüße,
Andreas

[Aladin]

kann ich mich nun wenn ich im Admin angemeldet bin mich im gleichen Browser auf meiner Seite gefahrlos bewegen (in einem anderen Tab)?

Veile Grüße

Aladin

[peterdd]

Bei dem Beispiel von Fishnet muss es sich um etwas anderes handeln.

Wenn ein infiziertes Bild Schaden anrichtet, dann hat ja wohl der verwendete Browser selbst versagt wenn er Code in einem jpg/png/gif ausführt und nix direkt mit dem Shop zu tun.

[manne35]

Funktioniert der CSRFTester zum
Aufspüren von CSRF-Lücken von Heise ?
Hat das schon jemand probiert ?

Vielleicht sollten wir doch die SSEQ-LiB von Herr Kachel einbauen.

[GTB]

SSEQ wurde bewusst wieder entfernt, da es zwar für uns Entwickler handlebar ist, aber nicht für einen Shopbetreiber. Manche Parameter sind sehr tricky und erfordern mehr als Grundkentnisse in PHP.

Gruss Gerhard

[Bonsai]

@Aladin NEIN, lies Dir die Beiträge von burrito noch mal durch, die Dame weiß von was sie spricht!