Wichtiges Sicherheitsupdate 2018-04 für Shops von GX2 v2.1.0.0 bis GX3 v3.9.2.1

Liebe Shopbetreiber,

im Rahmen eines externen Security-Checks konnte eine Schwachstelle identifiziert werden, durch welche Dritte in der Lage sind, unbefugt Daten zu erlangen. Die Lücke würden von externen Prüfern entdeckt, die unsere Software auditiert haben. Wir wissen von keiner aktiven Ausnutzung der Schwachstelle in einem Shop, stufen die Sicherheitslücke aber als kritisch ein und haben darum sofort ein Update entwickelt.

Betroffen sind alle Shops ab Version v2.1.0.0 bis einschließlich v3.9.2.1.

Wir empfehlen allen Shopbetreibern, das Security Update zeitnah zu installieren.

Bitte versteht, dass wir keine Details zur Lücke beschreiben werden, die Angreifern als Blaupause für einen Angriff dienen könnten.

Wir bedanken uns ausdrücklich bei Michael Schwarz (www.michael-schwarz.info) und Rene Ettling (www.eshop-source.com) für die Durchführung des Security-Checks und den Beitrag zur Verbesserung der Sicherheit von Gambio.

Download Security Update GX2 und GX3 v2.1.0.0-v3.9.2.1 (2018-04)

 

Sicherheitsupdate im Live- und Testshop erfolgreich eingespielt. Bisher keine Aufflligkeiten.
Testbestellung auch OK!
Danke an die "Spürnasen"!

 

Update im Liveshop ohne Probleme.

Vielen Dank

 

und was war das für ein "Fehler"? Was wurde behoben?

 

Hat doch Wilken geschrieben:

Zitat Wilken: "Bitte versteht, dass wir keine Details zur Lücke beschreiben werden, die Angreifern als Blaupause für einen Angriff dienen könnten."

Du kannst ja die Dateien vergleichen und dir deinen Reim machen habe ich auch gemacht

 

@Peru

 

jaja, ist schon gut. Ich habe verglichen und mir meinen Reim draus gemacht.

 

Danke
läuft problemlos nach Update. ( Vorher auch)

 

Keine Probleme nach Update. Danke an die Penetrationstester und an Gambio für die schnelle Reaktion

 

Moin Wilken,

kurze doofe Frage...

mit dem Servicepack 3.9.1.2 ist das Sicherheitsupdate auch gleich "erschlagen" - also in dem Servicepack schon enthalten, oder?

Viele Grüße
Michael

 

Nee

 

Moin Bernd,

danke, wer lesen kann ist klar im Vorteil...ich hatte da wohl einen Zahlendreher im Hirn... natürlich ist 3.9.1.2 kleiner als 3.9.2.1


Viele Grüße
Michael

 

Wir werden noch vor den nächsten regulären Updates Korrekturversionen veröffentlichen, die den Fix gleich enthalten, das haben wir heute entschieden. Es kommt also zum Beispiel ein 3.9.2.2. Entsprechende Pakete sind gebaut und im internen Test. Wenn keine unerwarteten Fehler auftreten, kommen die morgen.

 

SecUp ist drin, läuft.

MfG

Stefan Ulrich