Forscher von Assetnote haben eine kritische Zero-Day-Schwachstelle in Craft CMS identifiziert, einem weit verbreiteten Content-Management-System mit über 100.000 Kunden. Diese Schwachstelle, die als CVE-2024-56145 geführt wird, ermöglicht es nicht authentifizierten Angreifern, unter Standard-PHP-Konfigurationen Remote Code Execution (RCE) auszuführen. Da 50.915 Craft CMS-Instanzen online exponiert sind, stellt die Schwachstelle eine ernsthafte Bedrohung für die betroffenen Systeme dar.

Produkt	Craft Commerce, Craft CMS
Datum	25.12.2024 17:57:25
Informationen	Fix verfügbar Aktive Ausnutzung

Technische Zusammenfassung

Die Schwachstelle betrifft die folgenden Versionen von Craft CMS:

• 5.0.0-RC1 (inklusive) bis 5.5.2 (exklusive)
• 4.0.0-RC1 (inklusive) bis 4.13.2 (exklusive)
• 3.0.0 (inklusive) bis 3.9.14 (exklusive)

Wenn register_argc_argv aktiviert ist (Standardeinstellung in PHP), können Angreifer die Verarbeitung von Befehlszeilenargumenten im Bootstrap-Prozess von Craft CMS ausnutzen, um durch Template-Injection eine nicht authentifizierte Remote Code Execution zu erreichen.

Die Versionen 5.5.2, 4.13.2 und 3.9.14 von Craft CMS enthalten die Patches, die diese Schwachstelle beheben. Benutzern der betroffenen Versionen wird dringend empfohlen, sofort ein Update durchzuführen.

Empfehlungen

Um das Risiko einer Ausnutzung zu mindern:

1. Craft CMS aktualisieren:
   • Führen Sie ein Update auf Version 5.5.2 (für 5.x-Nutzer), 4.13.2 (für 4.x-Nutzer) oder 3.9.14 (für 3.x-Nutzer) durch.
2. register_argc_argv deaktivieren:
   • Temporäre Minderung der Schwachstelle durch Deaktivierung dieser Einstellung in der php.ini-Datei: register_argc_argv = Off
3. Exponierte Instanzen überprüfen:
   • Identifizieren Sie exponierte Craft CMS-Installationen und stellen Sie sicher, dass diese sichere Versionen verwenden.

[Callforaction-THREAT-Footer]