Shopware 5.7.9 – Update im April 2022

Es handelt sich um ein Datensicherheitsupdate. Betroffene Versionen sind 5.0.0 bis 5.7.8.

Nicht-persistente XSS

XSS ist eine der vielen Techniken, um schädlichen Code in eine Applikation einzuführen. Der Hauptunterschied von den anderen Techniken besteht darin, dass diese Methode die Ausführung des schädlichen Codes nicht auf dem Server, sondern clientbasssiert über den Browser ermöglicht. Gespeichert wird der Code allerdings auf Serverseite durch die Benutzereingabe im Frontend, so z.B. in einem Formular im Onlineshop. Der Code kann die persönlichen Daten von dem Onlineshop-Nutzer stehlen oder sogar eine Aktion ohne Erlaubnis des Nutzers durchführen. Die Gefahr für Shopware Onlineshops bestand lange Zeit (seit Version 5.0.0).

Fehlfunktion der CSRF-Token-Validierung

CSRF Token (secure random token) wird genutzt, um die CSRF (cross-site request forgery) Attacken zu verhindern. Das Token sagt der Applikation, dass die HTTP Anfrage legitim formuliert wurde. Das Token wird für jede Nutzer-Session generiert und ist somit einzigartig. Wichtig dabei ist, dass das Token nicht in Session Cookies, sondern direkt in der HTML Form integriert ist. Das Token muss jedes Mal neu generiert werden, wenn der Benutzer eine kritische Aktion durchführen will. Dafür wird oft auch in Onlineshops eine sichere Hash-Funktion genutzt, um die Session-ID des Benutzers zu codieren. Falls der Server das neue Token nicht dem Test zuordnen kann, wird die Aktion abgebrochen.

Shopware Onlineshops haben seit Version 5.2.0 das Token nicht neu generiert, nachdem der Benutzer sich ein- oder ausgeloggt hat. Dadurch entstand die Gefahr, dass jemand sich in das Konto des Onlineshop-Benutzers einloggen kann, wenn dieser Zugang zu dem Gerät erhält, welches vorher in das Konto eingeloggt war.

Mehrfache Erzeugung von Tokens für die Passwort-Zurücksetzen-Funktion

Die Passwort-Zurücksetzen-Funktion ist in Shopware Onlineshops, wie auch in mehreren anderen Applikationen, durch die Tokens realisiert. Diese Tokens werden an die E-Mail-Adresse des Kontoinhabers geschickt, ist immer nur einmalig benutzbar und ist nur für einen begrenzten Zeitraum gültig.

Einer der wichtigsten Aspekte ist, dass nur ein aktives Token gleichzeitig existieren darf. Seit Shopware 5.0.4 bis Version 5.7.9 war diese Regel nicht implementiert und man konnte mehreren E-Mails mit mehrfachen Tokens erhalten. Hiervon ging allerdings nur eine geringe Gefahr aus.

Halten Sie Ihren Shopware 5 Onlineshop up-to-date mit alkima WEB & DESIGN!