Neue Magento Shop Version behebt wichtige Sicherheitsmängel

Mit der letzten Magento Shop Version wurde der Adminbereich für die Konfiguration des PayPal Moduls verbessert. Die neue Shopversion 1.7.0.2 liefert diesmal keine neuen Features. Die Entwickler beseitigen mit dem Patch eine kritische Sicherheitslücke, die im Zusammenhang mit dem Framework Zend steht und Hackern das Auslesen von Datenbanken und Dateien auf dem Webserver ermöglicht.

Um zu vermeiden, dass der Online-Shop kompromittiert wird, empfiehlt sich ein umgehendes Update der Software. Ist das nicht möglich, kann ein Workaround genutzt werden.

Die Magento Shopsoftware basiert auf dem Zend Framework. Die XMLRPC Funktion von Zend ist im aktuellen Fall die Ursache für den Patch. Die Sicherheitslücke in der XMLRPC Schnittstelle wird von den Magento Entwicklern als kritisch eingestuft. Angreifer können über die Schnittstelle alle Dateien auf dem Webserver lesen. Dazu zählen nach Angaben der Entwickler auch Passwort- und Konfigurationsdateien. Befinden sich die Datenbanken und Magento Shop auf einem Server, dann sind die Datenbanken unter Umständen ebenfalls durch Hacker auslesbar. Damit können auch Kundendaten bedroht sein.

Für die Lösung des Sicherheitsproblems wird das Update der Installation auf die aktuelle Version empfohlen. Das gilt für die Magento Community Edition, die Magento Enterprise Edition und die Magento Professional Edition. Es ist ratsam, vor dem Upgrade ein Backup anzufertigen und die Server Voraussetzungen für die Magento Installation zu prüfen. Das nötige Patch ist auf der Magento Homepage zu finden. Für den Fall, dass ein kurzfristiges Update nicht möglich ist, ist in einem Blog der Magento Entwickler ein Workaround beschrieben. Für dieses Workaround muss die Datei XmlrpcController.php der Magento Installation von Hand editiert werden. Das Update sollte durch das Workaround nicht auf Dauer ersetzt werden.

Da es sich um ein sicherheitsrelevantes Update handelt, ist es auf alle Fälle zu empfehlen, dieses möglichst zeitnah durchzuführen. Fehlen Shopbetreibern die nötigen Kapazitäten oder das Know-how zum Upgrade, hilft der Magento Installation Service.

Über Inchpoint:

Inchpoint ist eine Fullservice Agentur, die auf Design, Werbetechnik, Internetmarketing, Webdesign und die Magento Shopsoftware spezialisiert ist. Gegründet wurde das innovative Hannoveraner Unternehmen 2006 von den jungen Akademikern Stanislav Maer und Anatol Handelmann. Die Werbeagentur zählt heute mehrere Hundert regionale und überregionale Kunden aus unterschiedlichen Branchen. Für ihre Kunden arbeitet die Agentur bei Bedarf auch eng mit nationalen und internationalen Partnern zusammen.