Veraltete Versionen von "osCommerce": BSI weist auf massenhafte Kompromittierung von Online-Shops hin

Manipulierte Shop-Systeme verbreiten Schadprogramme - Anbieter sollten Shop-System überprüfen und aktualisieren

(24.08.11) -Beobachtungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zufolge nutzen Angreifer derzeit verstärkt mehrere Sicherheitslücken in veralteten Versionen des Online-Shop-Systems "osCommerce" aus, um auf diesem System basierende Web-Präsenzen zu manipulieren. Die Angreifer fügen unter Ausnutzung der Sicherheitslücken schädlichen Code auf dem Shop-Server ein, welcher auf so genannte "Drive-by-Exploits" verweist.

Beim Besuch eines so manipulierten Online-Shops wird automatisiert versucht, verschiedene Schwachstellen im Web-Browser, im Betriebssystem oder anderer auf dem PC des Besuchers der Webseite installierter Anwendungssoftware auszunutzen, um unbemerkt ein Schadprogramm auf dem PC des Nutzers zu installieren.

Nach Erkenntnissen des BSI sind inzwischen mehrere tausend Online-Shops weltweit betroffen, darunter auch viele deutschsprachige. Die von den Angreifern für die Manipulationen ausgenutzten Sicherheitslücken wurden bereits in der vom Hersteller im November 2010 veröffentlichten Version osCommerce 2.3 geschlossen. Viele Online-Shops setzen jedoch immer noch ältere Versionen ein.

In der Fachpresse wurde bereits Ende Juli 2011 über diese Angriffe berichtet. Beobachtungen des BSI zufolge haben Betreiber von Online-Shops bislang jedoch nur teilweise reagiert und Manipu-lationen behoben sowie ein Update der

eingesetzen osCommerce Software durchgeführt. Das BSI weist daher aus diesem Anlass auf den akuten Handlungsbedarf hin.

Das BSI rät Betreibern von Online-Shops auf Basis von osCommerce, den Versionsstand der eingesetzten Shop-Software zu überprüfen und ggf. ein Update auf die aktuellen Versionen 2.3.1 bzw. 3.0.2 durchzuführen.

Die aktuellen Versionen stehen unter http://www.oscommerce.com/solutions/downloads zum Download bereit. Wurde bislang noch eine ältere Version eingesetzt, sollte der Shop-Server dringend auf mögliche Manipulationen überprüft werden.

Schutzmaßnahmen vor Schadprogrammen

Internet-Nutzern empfiehlt das BSI, zum Schutz vor Infektionen ihres Rechners mit Schadpro-grammen über Drive-by-Exploits auf die regelmäßige Aktualisierung der Signaturen des eingesetzen Virenschutzprogramms zu achten und zeitnah alle jeweils verfügbaren Sicherheitsupdates für das Betriebssystem und Anwendungssoftware zu installieren. (BSI: ra)