Mai 4, 2024
Internet-Sicherheit

Kritischer RCE-Fehler im Backstage-Softwarekatalog und auf der Entwicklerplattform von Spotify gemeldet

Die Musikplattform Spotify konnte nicht verhindern, dass sie Opfer von Cyberangriffen wurde.

Spotifys Backstage wurde als anfällig für eine schwerwiegende Sicherheitslücke entdeckt, die ausgenutzt werden könnte, um eine Remote-Code-Ausführung zu erreichen, indem ein kürzlich bekannt gegebener Fehler in einem Modul eines Drittanbieters ausgenutzt wird.

Die Schwachstelle (CVSS-Wert: 9,8) nutzt im Kern einen kritischen Sandbox-Escape in vm2, einer beliebten JavaScript-Sandbox-Bibliothek (CVE-2022-36067, auch bekannt als Sandbreak), die letzten Monat ans Licht kam.

„Ein nicht authentifizierter Angreifer kann beliebige Systembefehle auf einer Backstage-Anwendung ausführen, indem er ein vm2-Sandbox-Escape im Scaffolder-Core-Plug-in ausnutzt“, sagte die Anwendungssicherheitsfirma Oxeye in einem Bericht, der The Hacker News zur Verfügung gestellt wurde.

Laut Oxeye wurzelt die Sicherheitslücke in einem Tool namens Software Templates, mit dem Komponenten innerhalb von Backstage erstellt werden können.

Während die Template-Engine vm2 verwendet, um das Risiko zu mindern, das mit der Ausführung von nicht vertrauenswürdigem Code verbunden ist, ermöglichte die Sandbox-Escape-Lücke in letzterem, beliebige Systembefehle außerhalb des Sicherheitsperimeters auszuführen.

SPOTIFY
Bildquelle- CNBC

Oxeye sagte, es sei in der Lage gewesen, mehr als 500 öffentlich zugängliche Backstage-Instanzen im Internet zu identifizieren, die dann von einem Gegner aus der Ferne bewaffnet werden könnten, ohne dass eine Genehmigung erforderlich ist.

Nach der verantwortungsbewussten Offenlegung am 18. August wurde das Problem von den Projektbetreuern in Version 1.5.1 behoben, die am 29. August 2022 veröffentlicht wurde.

„Die Wurzel jeder vorlagenbasierten VM-Escape ist das Erlangen von JavaScript-Ausführungsrechten innerhalb der Vorlage“, bemerkte das israelische Unternehmen. „Durch die Verwendung von „logiklosen“ Template-Engines wie Moustache können Sie vermeiden, dass serverseitige Template-Injection-Schwachstellen eingeführt werden.“

„Wenn Sie die Logik so weit wie möglich von der Präsentation trennen, können Sie Ihre Anfälligkeit für die gefährlichsten vorlagenbasierten Angriffe erheblich verringern“, fügte es hinzu.

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

de_CHDeutsch (Schweiz)