ShinyHunters hackte Clops Leak-Seite über eine Sicherheitslücke in Grav CMS

ShinyHunters drang in Clops Datenleak-Seite ein und veränderte sie, indem die Gruppe eine Sicherheitslücke in Grav CMS ausnutzte, wie von den Grav-Entwicklern bestätigte Details zeigen. Clop hat die Seite inzwischen auf eine neue Tor-Adresse verlegt.

ShinyHunters veränderte Clops Leak-Seite

ShinyHunters platzierte Anfang dieses Monats zunächst eine kleine Datei auf Clops Seite. Später ersetzte die Gruppe den Inhalt der Seite durch ein ganzseitiges Defacement, das für ihre eigene Leak-Seite warb.

Die Gruppe behauptet, außerdem Quellcode, Plugins, Serverprotokolle und private Schlüssel für Clops Tor-Dienst gestohlen zu haben. Anschließend forderte sie ein Lösegeld und drohte damit, die Dateien zu veröffentlichen.

Clop bestätigte, dass Angreifer seinen Server kompromittiert hatten, bestreitet jedoch die Behauptungen über den Diebstahl. Die Ransomware-Gruppe erklärt, dass der Server lediglich Website-Inhalte und keine finanziellen oder operativen Daten enthielt. Keine der beiden Gruppen hat öffentliche Beweise vorgelegt, die eindeutig klären, worauf ShinyHunters Zugriff erlangte.

Path Traversal ermöglichte Dateien außerhalb des vorgesehenen Ordners

ShinyHunters erklärte gegenüber BleepingComputer, dass Clops Server Grav 1.7.43 verwendete. Die Gruppe gab an, einen Wert manipuliert zu haben, der zum Erstellen temporärer Upload-Pfade für Formulare verwendet wird. Durch das Einfügen von Directory-Traversal-Zeichen konnte sie Dateischreibvorgänge außerhalb des vorgesehenen Ordners steuern.

Die Grav-Entwickler bestätigten, dass das gemeldete Verhalten auf eine echte Schwachstelle im Grav-Kern zurückzuführen ist. Die Sicherheitslücke in Grav CMS ermöglicht es einem nicht authentifizierten Angreifer, zu beeinflussen, wo die Software Dateien innerhalb einer anfälligen Installation schreibt. Die Schwachstelle trägt die Kennung CVE-2026-42608.

Das Problem liegt in Grav selbst und nicht im separaten Form-Plugin. Daher behebt eine alleinige Aktualisierung dieses Plugins den anfälligen Kerncode nicht.

Grav veröffentlicht Fix für ältere Installationen

Grav korrigierte die Verarbeitung von Dateipfaden in seinem 2.0-Zweig bereits Anfang dieses Jahres. Dieser Schutz war jedoch noch nicht auf den weit verbreiteten 1.7-Zweig übertragen worden, als die Angreifer in Clops Seite eindrangen.

Nach der Überprüfung der Details des Angriffs veröffentlichte Grav am 24. September Version 1.7.53.4. Das Update beschränkt die Zeichen, die Grav in Formular-Identifikatoren akzeptiert, und verhindert so, dass Angreifer Dateischreibvorgänge außerhalb des vorgesehenen Bereichs für temporäre Speicherung verschieben können.

Website-Betreiber, die noch Grav 1.7 verwenden, sollten auf Version 1.7.53.4 aktualisieren. Aktuelle Grav-2.x-Versionen enthalten den Fix bereits.