NCERT warnt vor kritischer Sicherheitslücke in Adobe Commerce und Magento Open Source

Das National Computer Emergency Response Team (NCERT) hat eine eindringliche Sicherheitswarnung herausgegeben, um Unternehmen zu sensibilisieren, die Adobe Commerce und Magento Open Source in ihren Systemen einsetzen. Die Warnung adressiert eine schwerwiegende Schwachstelle, die unter dem Namen CVE-2025-54236 oder SessionReaper klassifiziert wird und mit einer CVSS-Bewertung von 9,1 als äußerst kritisch eingestuft ist. Diese Schwachstelle entsteht durch unzureichende Eingangsvalidierung in der Commerce REST API und kann von Angreifern ohne Authentifizierung mit geringer Komplexität ausgenutzt werden. Die Gefahr, die SessionReaper birgt, ist beträchtlich, da sie Millionen von E-Commerce-Transaktionen gefährden kann und Angreifern unkontrollierten Zugriff auf Kundensitzungen ermöglicht. Durch die Ausnutzung der Schwachstelle können Daten gestohlen, Berechtigungen über gestohlene Tokens oder API-Schlüssel eskaliert und in bestimmten Konfigurationen sogar Remote Code Execution (RCE) durchgeführt werden. Betroffen sind diverse Bereitstellungsmethoden, darunter B2B-Erweiterungen und das Custom Attributes Serializable Module.

Um Unternehmen vor den potenziellen Folgen zu schützen, appelliert das NCERT an die sofortige Anwendung eines Notfall-Hotfixes (VULN-32437-2-4-X-patch) oder an ein Upgrade auf die neueste Version von Adobe (APSB25-88). Neben diesen Kernmaßnahmen empfiehlt das NCERT weitere Sicherheitsvorkehrungen, wie das Rotieren von Admin- und API-Anmeldeinformationen, die Restriktion des Zugangs zur REST API auf vertrauenswürdige Netzwerke und die Implementierung strenger Regeln für Web Application Firewalls (WAF), Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS). Die kontinuierliche Echtzeitüberwachung ist dabei ebenso entscheidend wie eine tiefgreifende Verteidigungsstrategie.

Diese Warnung verdeutlicht die Schwere der Sicherheitsrisiken in der Open-Source-Landschaft, da populäre Plattformen wie Magento Open Source dem gleichen Angriffsniveau ausgesetzt sind wie Enterprise-Lösungen. Experten befürchten schnelle Ausnutzungen und betonen daher die Dringlichkeit einer zügigen Patch-Implementierung sowie gemeinschaftsbasierter Sicherheitsansätze zur Gewährleistung der Stabilität globaler E-Commerce-Operationen.

Schlagwörter: NCERT + Adobe + SessionReaper

Wie bewerten Sie den Schreibstil des Artikels?