Kritische Sicherheitslücke in Akana API Management Plattform

Eine schwerwiegende Sicherheitslücke wurde in der Akana Community Manager Developer Portal, einer populären API-Management-Plattform, identifiziert. Die Schwachstelle, bekannt unter der CVE-Nummer 2024-2796 mit CVE Index 9.3 / 10, ermöglichte eine Server-seitige Anfragefälschung (SSRF).

Die Sicherheitslücke betraf speziell Versionen bis einschließlich 2022.1.3 des Akana Community Manager Developer Portals. Durch die SSRF-Schwachstelle konnten unautorisierte externe Anfragen vom Server aus gestartet werden, was potenziell zu unerlaubtem Datenzugriff oder Manipulationen führen konnte. Die Schwachstelle wurde von Jakob Antonsson entdeckt und gemeldet.

Die betroffenen Versionen waren:

  • 2022.1.1
  • 2022.1.2
  • 2022.1.3

Für jede dieser Versionen wurde ein spezifischer Patch entwickelt und bereitgestellt, um die Schwachstelle zu adressieren. Die Patches tragen jeweils den Zusatz „CVE-2024-2796 Patch“.

Nutzer der Akana Community Manager Developer Portal werden dringend dazu aufgerufen, sicherzustellen, dass die neuesten Patches in ihren Systemen implementiert sind.

Tags :

Related Posts

Citrix uberAgent: Schwachstelle könnte zu Rechteausweitung führen

Citrix hat eine Sicherheitslücke in seiner Monitoring Software uberAgent identifiziert, die es Angreifern ermöglichen könnte, ihre Privilegien innerhalb des Systems unzulässig zu erhöhen. Die Schwachstelle trägt die Kennzeichnung CVE-2024-3902 und wurde mit einem hohen Schweregrad eingestuft.

Read More

DNS Cache Poisoning

DNS-Cache-Poisoning, auch bekannt als DNS-Spoofing, ist ein Angriffstyp, bei dem ein Angreifer falsche Einträge in den DNS-Cache eines DNS-Servers einschleust. Diese falschen Einträge führen dazu, dass Nutzer, die versuchen, eine legitime Website zu erreichen, stattdessen auf eine vom Angreifer kontrollierte bösartige Seite umgeleitet werden. Dies kann dazu benutzt werden, um persönliche Daten zu stehlen, Malware zu verbreiten oder den Datenverkehr zu überwachen. Der Angriff nutzt Sicherheitslücken im DNS-Protokoll aus, um den Cache des Servers mit gefälschten Adresszuweisungen zu „vergiften“.

Read More

Jenkins: Exploit erlaubt unauthentifiziertes auslesen von Systemdateien

April 2024 – In Jenkins, eine weit verbreitete Automatisierungssoftware, wurde eine maximal kritische Schwachstelle (CVE-2024-23897) bekannt, die es ermöglicht durch spezielle Manipulation der Kommandozeilenschnittstelle (CLI) beliebige Dateien vom Zielsystem auszulesen. Die Schwere der Bedrohung mit fast maximaler CVSS Bewertung 9.8 / 10 wird durch die Existenz eines bereits veröffentlichten Proof of Concept (PoC) unterstrichen, welcher zeigt, das selbst Angreifer ohne Programmierkenntnisse die Schwachstelle ausnutzen können. Jenkins benutzt die Bibliothek args4j zur Analyse von Befehlsargumenten. Eine Funktion dieser Bibliothek ersetzt ein “@"-Zeichen in Befehlsargumenten automatisch durch den Inhalt der dahinter angegebenen Datei (expandAtFiles), wodurch Dateien auf dem Server ohne strenge Zugriffsbeschränkungen ausgelesen werden können. Betroffen sind alle Jenkins-Versionen bis einschließlich 2.441 und LTS 2.426.2.

Read More