Fast still und heimlich hat das Magento Team am 09.02.2015 einen Patch für fast alle Magento Versionen veröffentlicht. Im Netz und per Google lassen sich kaum Infos zum Patch finden daher reichen wir diesen Beitrag erst jetzt nach.
Im Magento Core wurde eine schwerwiegende Sicherheitslücke entdeckt. Die Lücke erlaubt es einem Angreifer Zugriff auf die gesamte Magento Instanz zu erhalten bzw. Dateien auf dem Server zu speichern. Diese Dateien können später für weitere Angriffe auf externe Ziele oder als Backdoor zum Shop verwendet werden.
Betroffen sind die Magento Versionen CE 1.6 bis CE 1.9 sowie EE 1.11 bis EE 1.14. Auch die aktuellen Versionen CE 1.9.1.0 und EE 1.14.1.0 sind betroffen!
Wir raten daher allen Kunden schnellstmöglich den bereitgestellten Patch, passend zur eingesetzen Magento-Version, einzuspielen!
Einspielen des Magento-Patches per SSH:
- Download des passenden Patches von Magentocommerce.com (ganz unten)
- Upload des Patches in den Ordner public_html
- sh PATCH-DATEINAME.sh
- rm var/cache/* -rf
Einspielen des Patches ohne SSH:
- Download des passenden Patches von Magentocommerce.com (ganz unten)
- Öffnen des Patches im Texteditor
- Manuelles Anwenden des Patches: Zeilen im Patch mit einem Minus (-) werden entfernt, Zeilen mit einem Plus (+) ergänzt. Die zu editierenden Dateinamen befinden sich über den geänderten Zeilen.
- Alle Caches leeren um die Änderungen zu übernehmen: System > Cache Management
Das Entwicklerteam empfiehlt die Änderungen vorher in einer Testumgebung zu prüfen!
rack::SPEED Kunden mit einem SSD Business Hosting oder CloudServer können die Updates jederzeit wie oben beschrieben per SSH einspielen, SSD StartUp und Kunden älterer Tarife können jederzeit die Unterstützung unseres Support-Teams in Anspruch nehmen. – Für das Einspielen des Patches berechnen wir eine einmalige Servicegebühr.
3 Gedanken zu „Kritische Magento Sicherheitslücke – Patch (SUPEE-5344) erforderlich!“
Unsere Version 1.4.1.0 ist demzufolge nicht betroffen…
Unseren Informationen nach gab es einen offiziellen Patch für Magento < v1.5, allerdings wurden dieser wohl zurückgezogen und bisher nicht wieder zur Verfügung gestellt. Wir gehen daher davon aus das diese Magento Versionen keinen Patch benötigen. - Wer möchte findet den Patch mit Hilfe von Google bei einem niederländischen Kollegen zum Download.
Kommentare sind geschlossen.