Kritische Sicherheitslücke in Akana API Management Plattform

Eine schwerwiegende Sicherheitslücke wurde in der Akana Community Manager Developer Portal, einer populären API-Management-Plattform, identifiziert. Die Schwachstelle, bekannt unter der CVE-Nummer 2024-2796 mit CVE Index 9.3 / 10, ermöglichte eine Server-seitige Anfragefälschung (SSRF).

Die Sicherheitslücke betraf speziell Versionen bis einschließlich 2022.1.3 des Akana Community Manager Developer Portals. Durch die SSRF-Schwachstelle konnten unautorisierte externe Anfragen vom Server aus gestartet werden, was potenziell zu unerlaubtem Datenzugriff oder Manipulationen führen konnte. Die Schwachstelle wurde von Jakob Antonsson entdeckt und gemeldet.

Die betroffenen Versionen waren:

  • 2022.1.1
  • 2022.1.2
  • 2022.1.3

Für jede dieser Versionen wurde ein spezifischer Patch entwickelt und bereitgestellt, um die Schwachstelle zu adressieren. Die Patches tragen jeweils den Zusatz „CVE-2024-2796 Patch“.

Nutzer der Akana Community Manager Developer Portal werden dringend dazu aufgerufen, sicherzustellen, dass die neuesten Patches in ihren Systemen implementiert sind.

Tags :

Related Posts

Nespresso Website Open Redirect Schwachstelle für Phishing ausgenutzt

Im April 2024 entdeckte Perception Point einen Phishing-Feldzug, bei demCyberkriminelle eine offene Open Redirect Schwachstelle der Nespresso-Webseite ausnutzen, um Benutzer auf gefälschte Anmeldeseiten zu locken und ihre Microsoft-Anmeldedaten zu stehlen.

Read More

Mitel SIP-Telefone und Konferenzeinheiten: kritische Schwachstellen

Mitel hat kürzlich fünf kritische Schwachstellen in verschiedenen Modellen der Mitel SIP-Telefone und in der Mitel 6970 Konferenzeinheit veröffentlicht. Diese Schwachstellen könnten es Angreifern ermöglichen, unautorisierte Aktionen auf den betroffenen Geräten durchzuführen, darunter das Ausführen von beliebigem Code und das Umgehen von Authentifizierungsmechanismen.

Read More

Jenkins: Exploit erlaubt unauthentifiziertes auslesen von Systemdateien

April 2024 – In Jenkins, eine weit verbreitete Automatisierungssoftware, wurde eine maximal kritische Schwachstelle (CVE-2024-23897) bekannt, die es ermöglicht durch spezielle Manipulation der Kommandozeilenschnittstelle (CLI) beliebige Dateien vom Zielsystem auszulesen. Die Schwere der Bedrohung mit fast maximaler CVSS Bewertung 9.8 / 10 wird durch die Existenz eines bereits veröffentlichten Proof of Concept (PoC) unterstrichen, welcher zeigt, das selbst Angreifer ohne Programmierkenntnisse die Schwachstelle ausnutzen können. Jenkins benutzt die Bibliothek args4j zur Analyse von Befehlsargumenten. Eine Funktion dieser Bibliothek ersetzt ein “@"-Zeichen in Befehlsargumenten automatisch durch den Inhalt der dahinter angegebenen Datei (expandAtFiles), wodurch Dateien auf dem Server ohne strenge Zugriffsbeschränkungen ausgelesen werden können. Betroffen sind alle Jenkins-Versionen bis einschließlich 2.441 und LTS 2.426.2.

Read More