„`html
Zusammenfassung
In AojiaoZero Antaris Version 1.0 wurde eine SQL-Injection-Sicherheitslücke identifiziert. Die Schwachstelle befindet sich in der PayPal IPN Payment Handler-Komponente und ermöglicht es Angreifern, über den Parameter item_number in der Datei /ipn.php nicht validierte SQL-Befehle auszuführen. Die Anfälligkeit wird mit einem CVSS-Score von 6.3 (Mittel) bewertet und kann remote ausgenutzt werden. Der Hersteller wurde informiert, reagierte jedoch nicht auf die Disclosure.
Betroffene Systeme
- AojiaoZero Antaris Version 1.0 und möglicherweise ältere Versionen
- Alle Installationen mit aktiviertem PayPal IPN Payment Handler
- Systeme mit direkter Netzwerkanbindung
Technische Details
Die Schwachstelle existiert in der Funktion _rewardPurchase der Komponente PayPal IPN Payment Handler. Das System validiert oder escaped den Parameter item_number nicht ausreichend, bevor dieser in eine SQL-Query eingefügt wird. Dies ermöglicht klassische SQL-Injection-Angriffe.
Ein Angreifer kann manipulierte IPN-Callbacks von PayPal senden oder diese abfangen und modifizieren. Durch gezielt konstruierte item_number-Werte lassen sich beliebige SQL-Statements ausführen, was zu Datenbankzugriff, Datenextraktion oder Datenbankmanipulation führen kann.
Empfohlene Massnahmen
- Sofortmassnahmen: Deaktivieren Sie das PayPal IPN Payment Handler-Modul bis zur Verfügbarkeit eines Patches
- Eingabevalidierung: Implementieren Sie strikte Validierung für alle IPN-Parameter
- Prepared Statements: Verwenden Sie parameterisierte Queries statt String-Konkatenation
- Monitoring: Überwachen Sie Logs auf verdächtige IPN-Anfragen mit ungültigen item_number-Werten
- WAF-Regeln: Implementieren Sie Web Application Firewall-Regeln zur SQL-Injection-Erkennung
Bewertung
CVSS 6.3 (Mittel): Netzwerk-basierte Ausnutzbarkeit ohne Authentifizierung. Das Fehlen eines Patches und die Nicht-Reaktion des Herstellers erhöhen das praktische Risiko erheblich. Systeme in produktiver Umgebung sollten als prioritär behandelt werden.
„`