CMS and Experience Platform (XP)

Die Schwachstelle steckt im Anti-CSRF-Modul (Sitecore.Security.AntiCSRF) der Sitecore-Produkte CMS und Experience Platform (XP). Dieses Modul soll eigentlich vor gefälschten Anfragen schützen, verarbeitet aber von außen übergebene Daten auf unsichere Weise: Es nimmt ein serialisiertes .NET-Objekt aus einem Parameter einer HTTP-POST-Anfrage entgegen und wandelt es zurück in ein Objekt (Deserialisierung), ohne den Inhalt ausreichend zu prüfen. Ein angemeldeter Angreifer kann auf diesem Weg ein präpariertes Objekt einschleusen und so beliebigen Code auf dem Server ausführen. Voraussetzung ist lediglich ein gültiger Zugang zum System; eine besonders hohe Berechtigung ist nicht erforderlich. Da die übergebenen Daten direkt über eine reguläre Web-Anfrage an den Server gelangen, lässt sich der Angriff über die normale Weboberfläche der betroffenen Sitecore-Installation durchführen und betrifft Betreiber dieser Plattform.