Sicherheitslücken in Sitecore und Next.js: CISA warnt vor aktiven Angriffen

MÜNCHEN (IT BOLTWISE) – Die Cybersicherheitsbehörde der USA, CISA, hat kürzlich zwei kritische Sicherheitslücken in Sitecore CMS und Experience Platform (XP) in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Diese Schwachstellen, die bereits seit sechs Jahren bestehen, werden derzeit aktiv ausgenutzt. Die betroffenen Schwachstellen sind CVE-2019-9874 und CVE-2019-9875, die beide Deserialisierungsprobleme im Sitecore.Security.AntiCSRF-Modul betreffen.

Die Cybersicherheits- und Infrastruktursicherheitsbehörde der USA (CISA) hat zwei kritische Sicherheitslücken in Sitecore CMS und Experience Platform (XP) in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Diese Schwachstellen, die bereits seit sechs Jahren bestehen, werden derzeit aktiv ausgenutzt. Die betroffenen Schwachstellen sind CVE-2019-9874 und CVE-2019-9875, die beide Deserialisierungsprobleme im Sitecore.Security.AntiCSRF-Modul betreffen. CVE-2019-9874 ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code auszuführen, während CVE-2019-9875 einem authentifizierten Angreifer dieselbe Möglichkeit bietet.

Die Bedrohung durch diese Schwachstellen ist erheblich, da sie es Angreifern ermöglichen, die Kontrolle über betroffene Systeme zu übernehmen. Sitecore hat bereits im März 2020 auf die aktive Ausnutzung von CVE-2019-9874 hingewiesen, jedoch gibt es keine Informationen darüber, dass CVE-2019-9875 ebenfalls ausgenutzt wird. Angesichts der aktiven Ausnutzung sind Bundesbehörden verpflichtet, die notwendigen Patches bis zum 16. April 2025 anzuwenden, um ihre Netzwerke zu sichern.

Parallel dazu hat Akamai erste Exploit-Versuche beobachtet, die potenzielle Server auf eine neu entdeckte Sicherheitslücke im Next.js-Webframework (CVE-2025-29927) untersuchen. Diese Schwachstelle ermöglicht es Angreifern, Sicherheitsprüfungen zu umgehen, indem sie einen speziellen Header manipulieren. Dies könnte zu unbefugtem Zugriff auf sensible Anwendungsressourcen führen, wie Raphael Silva von Checkmarx erklärt.

Die Bedrohungslage wird durch Berichte von GreyNoise über aktive Ausnutzungsversuche gegen mehrere bekannte Schwachstellen in DrayTek-Geräten weiter verschärft. Die Schwachstellen CVE-2020-8515, CVE-2021-20123 und CVE-2021-20124 betreffen verschiedene Modelle von DrayTek-Routern und ermöglichen unter anderem die Ausführung von Code mit Root-Rechten.

Die Angriffe auf DrayTek-Geräte konzentrieren sich hauptsächlich auf Indonesien, Hongkong und die USA, während die Schwachstellen in Next.js und Sitecore weltweit ausgenutzt werden. Diese Entwicklungen unterstreichen die Notwendigkeit, Sicherheitsmaßnahmen zu verstärken und Systeme regelmäßig zu aktualisieren, um gegen solche Bedrohungen gewappnet zu sein.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder, KI-Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

89,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!