Neue MySQL Injection Attacken auf GX 4.8.0.3

Nachdem ich gestern eine Spätschicht eingelegt habe, mal zur Info den aktuellen Stand der Auswertung bei einem GX 26.07.0 - PHP 8.3 Shop:
Imunify360 erkannte den SQL-Injection-Request mittels libinjection, verhinderte jedoch nachweislich nicht dessen Ausführung in der Gambio-Anwendung bzw. Datenbank. Die eingeschleuste Unterabfrage wurde von Datenbank ausgeführt und erzeugte xxxx (den richtigen Wert hab ich rausgenommen). Ob dieser Wert im HTTP-Response-Body an den Angreifer übertragen wurde, lässt sich nicht mehr feststellen, da Response Bodies im ModSecurity-Auditlog nicht aufgezeichnet wurden. Die bekannte Abfrage legte keine individuellen Bestandteile des Passwort-Hashes offen. Im Übrigen hatte auch Cloudflare etwas erkannt und hatte eine Challenge ausgelöst die aber offenbar gelöst wurde.
Klingt erstmal nicht so dramatisch, aber eine Meldung an die Datenschutzbehörde nach Art. 33 DSGVO sollte trotzdem innerhalb von 72 Stunden ab Kenntnisnahme erfolgen. Begündung: Für eine Datenschutzverletzung muss nicht bewiesen sein, dass eine komplette Kundendatenbank heruntergeladen wurde. Auch ein unbefugter Zugriff auf personenbezogene Daten fällt bereits unter den Begriff der Datenschutzverletzung. Das EDPB nennt ausdrücklich unbefugten Zugriff als solchen Fall. Bei mir ist inzwischen mehr als ein bloßer Angriffsversuch belegt: Der manipulierte Request erreichte Gambio und die Datenbank, und die eingeschleuste Abfrage auf customers_password wurde tatsächlich ausgeführt. Damit bestand ein unbefugter Zugriff auf Daten eines identifizierbaren Administratorkontos. Dass die bekannte Abfrage lediglich xxx und die Länge x ermittelte und keinen individuellen Teil des Passwort-Hashes, reduziert das Risiko erheblich, beseitigt aber den bereits erfolgten unbefugten Datenbankzugriff nicht.
Ich habe die Meldung bereits abgegeben und nach endgültiger forensischer Auswertung wird auch eine Anzeige erstattet. Das würde ich auch jedem empfehlen der alle notwendigen Daten zur Nachverfolgung gesichert hat.

 

Till hat sich die Logs unseres Shops angesehen und konnte keine Auffälligkeiten zu Angriffen feststellen.

Unser Hoster konnte in den Zugriffsprotokollen keine Besonderheiten feststellen. Aufgrund fehlender Query-Logs kann keine Analyse zu Datenbankzugriffen festgestellt werden.

Ich bin nun etwas verunsichert, ob ich dazu eine Meldung an die Behörde geben sollte. Ich kann Datenabfluss weder bestätigen noch ausschließen. Wie ist es bei euch?

VG
Chris

 

Hallo, meiner Meinung nach sollte jetzt zuerst von Gambio klar schnellstens eine Stellungnahme erfolgen mit Anweisung, wie und auf was die Logs geprüft werden sollen/müssen und auch welche Logs (Gambio, Provider). Erst wenn dadurch bestätigt wurde, dass ein unbefugter Zugriff erfolgt ist, bin ich der Meinung, ist das meldepflichtig. Solange ich keine Anzeichen sehe und die Logs unauffällig sind, bedarf es auch keiner Meldung, weil es keine Kenntnis auf unbefugten Zugriff gibt, und das ist meiner Meinung nach der Passus.

 

Moin, ich wurde gestern proaktiv von Gambio über das Problem informiert und mit einem Patch versorgt, das sich problemlos einspielen ließ.

Viele Grüße, Tobias Berben

 

Ich habe den Patch auch eingespielt, habe aber auch keine Unregelmäßigkeiten bisher.

 

@Daniel S. (Gambio) Wie ich in der FB Gruppe lese, hat ein Shopbetreiber, vor über einem Jahr, diese Sicherheitslücke an euch gemeldet.
Wie kann das sein?
(Ich bin ein bisschen schockiert)

 

Hmm.... findest du das witzig?
Es wird eine Sicherheitslücke an Gambio gemeldet.
Ein Jahr und viele Updates später wird diese Lücke ausgenutzt.
Und erst dann wird sie von Gambio geschlossen.
Es scheint, dass ich die Einzige bin, die das beunruhigt...

 

Nein, bist du nicht.
Es ist erst recht beunruhigend, dass so noch gar nichts von Gambio dazu weiter zu hören/lesen ist, außer dass ein Patch zur Verfügung gestellt wurde - der auch in den Cloudshops eingespielt ist. Man will ja keine Einzelheiten, aber so etwas mehr Infos, wie z. B. oben angemerkt, wäre schon nicht schlecht.
Andererseits hoffe ich einfach, dass unser Cloudshop nicht wieder betroffen ist, wie im Frühjahr.

 

Beruhigt euch mal,..
Man bezahlt ja jetzt statt ca. 30€ mindestens 150€ im Monat. Aber diese Mehrkosten werden jetzt eben dafür verwendet, solche Sicherheitslücken zu schließen. Deswegen ging es nicht früher.

Mit dem Geld füllt sich keine graue Eminenz im Hintergrund seine Taschen.

 

Achso natürlich.

 

Es ist so geil!
Die Definition der Trivalität des Alltags wird noch immer mit Klatschen und Raunen belohnt.

Warum sollte man sich auch nur 10 Sekunden dazu zwingen außerhalb der Blase zu lesen?!
Tut uns allen einen Gefallen und bleibt beim Bekannten. Der Dude wollte auch keine Anhänger.
Er wollte nur seinen Teppich ersetzt haben und seine Ruhe.
Aber nein, wir brauchen ein Manifest. Ein Framework. Einen Podcast.
Drei Folgen über Teppiche, gesponsert von einem Matratzenhersteller.

Und irgendwer bastelt ein Zitat draus, setzt es auf ein Kachelbild, Serifenschrift, beiger Hintergrund. 4.000 Likes. Kommentarspalte: "So true." "Das musste mal gesagt werden."
Musste es nicht. Es wurde schon gesagt. 1998. Von einem Mann im Bademantel, der eigentlich Bowling spielen wollte.

Das ist die Mechanik: Jemand formuliert das Naheliegende in ganzen Sätzen, und der Saal hält das für Mut.
Mut wäre, zehn Sekunden lang nichts zu sagen. Oder etwas zu lesen, das einem widerspricht, ohne sofort die Antwort im Kopf zu formulieren.

Aber gut. Bleibt beim Bekannten. Nickt euch gegenseitig zu.
Ich hol mir einen White Russian.
Der Teppich ist eh nicht zu retten.

 

Vor einer Weile wurde hier jemand gefragt, ob er was geraucht hat. Ich glaube, das passt hier jetzt gerade auch ganz gut …

 

Zehn Sekunden außerhalb der Blase, und schon riecht es für dich nach Gras. Sagt mehr über die Blase als über den Text.

 

Du hast den eigentlichen Sachverhalt vor lauter Philosophie offenbar nicht verstanden.
Um das Thema hier nicht noch mehr zu verwässern, darfst du mir gerne per PN schreiben.


Ich würde weiterhin gerne von Gambio wissen, warum die vor über einem Jahr gemeldete Sicherheitslücke erst geschlossen wurde, nachdem sie durch den jetzigen Angriff ausgenutzt wurde.

 

Mach ein Ticket, dann bekommst Du eine Antwort, kannst Du ja hier dann Posten.