ViewState-Zero-Day in Sitecore (CVE-2025-53690) aktiv ausgenutzt

Google/Mandiant haben eine laufende Angriffskette auf Sitecore-Instanzen untersucht und gestoppt: Angreifer missbrauchten eine ViewState-Deserialisierung über eine öffentlich erreichbare Seite (/sitecore/blocked.aspx), nachdem ein in alten Deploy-Guides veröffentlichter ASP.NET machineKey wiederverwendet wurde – Ergebnis: Remote Code Execution. Sitecore führt die fehleranfällige Konfiguration als CVE-2025-53690 und bestätigt, dass aktuelle Deployments automatisch eindeutige Keys erzeugen sowie betroffene Kunden informiert wurden.

Beobachtete TTPs: Nach der Erstkompromittierung setzten die Täter u. a. das Recon-Tool WEEPSTEEL, den Tunneler EARTHWORM und DWAgent für persistente Fernzugriffe ein; es kam zu Konto-Anlagen, SAM/SYSTEM-Dumping und AD-Reconnaissance (SharpHound).

Empfehlungen:

  • Prüfen, ob irgendwo noch Beispiel- oder statische machineKeys genutzt werden; Schlüssel rotieren, ViewState MAC erzwingen und Secrets in web.config schützen.
  • Sitecore-Advisories/Hotfixes gemäß SC2025-00x einspielen (je nach Version/Produkt).
  • Telemetrie/Logs auf auffällige POSTs zu blocked.aspx, neue Admin-Konten und die genannten Tools/IoCs prüfen.

Stand: 4. September 2025 (CEST).

Tags :

Related Posts

xAI veröffentlicht versehentlich Hunderttausende Grok-Chatprotokolle – inklusive heikler Inhalte

Laut einer Recherche von Forbes hat Elon Musks KI-Firma xAI ohne Vorwarnung hunderttausende Konversationen seines Chatbots Grok öffentlich gemacht – viele davon sind über Google-Suche frei auffindbar.

Read More

Apple schließt Zero-Day-Lücke CVE-2025-43300 in iOS, iPadOS und macOS

Apple hat am 21. August 2025 ein wichtiges Sicherheitsupdate veröffentlicht, das eine aktiv ausgenutzte Zero-Day-Schwachstelle in iOS, iPadOS und macOS behebt.

Read More

Kritische Schwachstelle in FortiWeb (CVE-2025-52970)

In mehreren Versionen von Fortinet FortiWeb wurde eine kritische Sicherheitslücke entdeckt. Ursache ist eine fehlerhafte Parameterverarbeitung, die es einem unauthentifizierten, entfernten Angreifer ermöglicht, mit speziell präparierten Requests Administratorrechte zu erlangen – vorausgesetzt, er verfügt über bestimmte nicht-öffentliche Informationen zum Gerät und Zielnutzer.

Read More