Pressemitteilung von Outpost24

Race Condition Sicherheitslücke in nopCommerce ermöglicht Single Packet Exploits

---

---

In der beliebten Open-Source-Shopsoftware nopCommerce (bis einschließlich Version 4.60.4) ist eine kritische Sicherheitslücke entdeckt worden, mit der ein Angreifer, eine Geschenkkarte mithilfe einer Technik namens "Single-Packet-Attack" mehrfach einlösen kann. Richtig durchgeführt, können Angreifer so Artikel kostenlos erhalten. Die Schwachstelle wurde von Sicherheitsforschern von Outpost24 identifiziert und betrifft die parallele Verarbeitung von Anfragen auf Webseiten, die nopCommerce einsetzen.

Im Detail handelt es sich um eine sogenannte Race-Condition-Schwachstelle, bei der ein Angreifer in zwei verschiedenen Sitzungen dem Warenkorb Artikel hinzufügen, und dann in jeder der beiden Sitzungen denselben Geschenkkarten-Code eingeben kann. Im Zahlungsprozess beider Sitzungen kann der Angreifer einen Single-Packet-Angriff durchführen, wenn er die an /checkout/OpcConfirmOrder/ ausgehende Anfrage abfängt. Wenn beide Anfragen parallel verarbeitet werden, prüfen beide das Guthaben der Geschenkkarte, bevor es auf einen neuen Wert aktualisiert wird, was eine Race-Condition zur Folge hat.

Die Gefahr: Race Conditions lassen sich nur schwer aufspüren, da sie oftmals nur unter bestimmten Bedingungen wie bei Timings oder unter Last auftreten. Hinzu kommt, dann Nichtreproduzierbare Programmfehler, alias "Heisenbugs" das Hinzufügen eines Logging-Mechanismus oder die Verwendung eines Debuggers allein das Timing des Programms genug verändern können, um den Fehler zu verbergen.

Patch verfügbar - Betreiber sollten handeln

Das Entwicklerteam von nopCommerce hat bereits reagiert und einen Sicherheits-Patch veröffentlicht, um die Lücke zu schließen. Betreiber von Webshops, die auf nopCommerce basieren, sollten dringend ihre Installationen auf den aktuellen Stand bringen und ihre Systeme auf potenzielle Anzeichen eines Missbrauchs überprüfen.

Weitere technische Details zur Schwachstelle sowie Hinweise zur Behebung liefert der vollständige Blogbeitrag: https://outpost24.com/de/blog/cve-2024-58248-nopcommerce-wettlaufsituation-schwachstelle/.

Firmen- & Pressekontakt