Mautic 7.2.2 behebt Remotecodeausführung, SQL-Injection und weitere Schwachstellen mit hohem Schweregrad

Was passiert ist

Das Mautic-Projekt hat acht Sicherheitshinweise veröffentlicht; die darin beschriebenen Schwachstellen sind in Mautic 7.2.2 behoben, mehrere davon auch in Mautic 6.0.10 und 5.2.12. Der schwerwiegendste Hinweis, GHSA-mxjf-pghx-h299, betrifft eine kritische Schwachstelle durch uneingeschränkten Datei-Upload beim Kampagnenimport. Eine authentifizierte Person mit der Berechtigung für den Kampagnenimport kann über die Benutzeroberfläche oder über /api/campaigns/import ein Archiv hochladen und so serverseitige Skripte in einem öffentlich zugänglichen Medienverzeichnis ablegen. Bei der standardmäßigen Apache-Konfiguration des offiziellen Mautic-Docker-Images führt dies zu Remotecodeausführung mit den Rechten des Webserver-Benutzers; Administratorrechte sind nicht erforderlich.

Weitere Schwachstellen umfassen einen Twig-Sandbox-Ausbruch in Theme-Templates (GHSA-h7pm-79gc-8867), zwei SQL-Injection-Probleme, eine gespeicherte XSS-Schwachstelle in benutzerdefinierten Kontaktfeldern des Typs HTML, eine unzureichende Zugriffskontrolle in der Stats-API, das Auslesen beliebiger Dateien über die Asset-API sowie eine offene Weiterleitung bei Formularübermittlungen. Mehrere davon erfordern lediglich ein Konto mit niedrigen Berechtigungen; die offene Weiterleitung erfordert keine Authentifizierung und setzt voraus, dass ein Opfer ein präpariertes Formular absendet. Mautic hat keine Angaben zu einer aktiven Ausnutzung dieser Schwachstellen gemacht, und keine ist im KEV-Katalog der CISA aufgeführt.

Wer betroffen ist

Die betroffenen Versionsbereiche unterscheiden sich je nach Sicherheitshinweis. Mautic-7-Versionen vor 7.2.2 sind von allen acht Sicherheitshinweisen betroffen. Mautic-6-Versionen vor 6.0.10 und Mautic-5-Versionen vor 5.2.12 sind von sechs Sicherheitshinweisen betroffen: GHSA-h7pm-79gc-8867, GHSA-fj8v-c9c3-7q26, GHSA-qpmx-7pq3-5q2v, GHSA-7j28-9rg4-wg63, GHSA-wfhm-289v-79vp und GHSA-5mm3-3g7p-9868. Diese sechs Hinweise nennen betroffene Bereiche, die bei unterschiedlichen älteren Versionen beginnen (1.0.0, 2.1.0, 2.3.0 oder 2.8.1) und bis vor 5.2.12 reichen. Für diese älteren Linien ist keine öffentliche korrigierte Version angegeben; für Mautic 4 verweist Mautic auf ELTS. Die Plattform ist in der Regel eine selbst betriebene Webanwendung und kann öffentliche Formulare und APIs bereitstellen.

Was jetzt zu tun ist

1. Aktualisieren Sie auf die korrigierte Version für Ihren Branch: Mautic 7.2.2, Mautic 6.0.10 oder Mautic 5.2.12. Unter Mautic 7 ist 7.2.2 die einzige Version, die die Schwachstelle im Kampagnenimport und die gespeicherte XSS-Schwachstelle behebt; unter Mautic 6 oder 5 verwenden Sie 6.0.10 beziehungsweise 5.2.12. Wenn Sie Mautic 4 einsetzen, wird die Korrektur für Theme-Templates laut Mautic über ELTS bereitgestellt; für andere ältere Branches ist keine öffentliche korrigierte Version aufgeführt.

1. Wenn Sie nicht sofort aktualisieren können, schränken Sie die für diese Schwachstellen erforderlichen Berechtigungen ein: Entziehen Sie Benutzern, die sie nicht benötigen, die Berechtigung zum Erstellen von Kampagnenimporten; beschränken Sie core:themes:create auf vertrauenswürdige Administratoren; deaktivieren oder beschränken Sie die Mautic-API; und schränken Sie die Kontaktbearbeitung und die Zuordnung von HTML-Feldern ein.

1. Blockieren Sie für die SQL-Injection beim Kontaktabruf Anfragen an /s/ajax mit der Aktion lead:getLeadIdsByFieldValue auf Webserver- oder WAF-Ebene.

1. Konfigurieren Sie für die Schwachstelle im Kampagnenimport den Webserver auf Server- oder Virtual-Host-Ebene so, dass die Ausführung von Skripten im Verzeichnis media/ verweigert wird. Für die offene Weiterleitung konfigurieren Sie eine Reverse-Proxy- oder WAF-Regel, um Weiterleitungen von /form/submit an nicht vertrauenswürdige Hosts zu blockieren. Die Aktualisierung ist der empfohlene Weg; die meisten Sicherheitshinweise nennen keinen offiziellen Workaround.

Wie man es erkennt

Wenn Sie noch nicht aktualisieren können, konzentrieren Sie das Monitoring auf die in diesen Sicherheitshinweisen genannten Endpunkte: /s/ajax mit lead:getLeadIdsByFieldValue, API-Anfragen von Dashboard-Widgets, /api/campaigns/import, /api/stats/{table} sowie die Erstellung von Assets über die API durch Konten, die normalerweise keine Assets erstellen. Prüfen Sie nach Kampagnenimporten das Medienverzeichnis des Webservers auf unerwartete Dateien. Mautic hat für diese Schwachstellen keine spezifischen Indikatoren für eine Kompromittierung veröffentlicht.

Über den Patch hinaus

Hierbei handelt es sich um Sicherheitslücken in einer selbst betriebenen Marketingplattform, die für mehr als nur Administratoren erreichbar sein können. Die Gefährdung besteht daher häufig in der Zeitspanne zwischen der Veröffentlichung durch Mautic und Ihrer Bereitstellung des Updates. Managed Detection and Response (MDR) kann den Missbrauch von Anmeldedaten und die Aktivitäten nach einer Kompromittierung erkennen, die durch Remotecodeausführung und SQL-Injection ermöglicht werden. Implementierungs- und Bewertungsleistungen können die API-Erreichbarkeit, Berechtigungen und Webserver-Konfiguration vor und nach dem Upgrade überprüfen.