Beschreibung der Schwachstelle

Die betroffene Komponente der Pega Platform verarbeitet Eingaben nicht ausreichend, sodass schädlicher Code in HTML‑Ausgaben eingebettet werden kann. Der Mangel betrifft die Validierung von Benutzereingaben, bevor diese an den Browser zurückgeliefert werden.

Mögliche Auswirkungen

Durch das Einschleusen von Skripten kann ein Angreifer die Sitzung eines Benutzers übernehmen, sensible Daten auslesen oder weitere schädliche Aktionen im Kontext des betroffenen Browsers ausführen. Der Angriff kann die Integrität von Web‑Anwendungen, die auf der Plattform laufen, gefährden.

Betroffene Systeme

Alle Installationen der Pega Platform, die die fehlerhafte Eingabe‑Verarbeitung einsetzen, sind potenziell betroffen. Der Bericht nennt keine spezifischen Versionen, weshalb Administratoren prüfen sollten, welche Versionen im Einsatz sind.

Empfohlene Gegenmaßnahmen

CERT‑Bund rät betroffene Betreiber an, die Eingabe‑Validierung zu verstärken und aktuelle Sicherheitspatches zu installieren, sobald diese verfügbar sind. Zusätzlich sollten Web‑Application‑Firewalls eingesetzt werden, um verdächtige Skript‑Einfügungen zu blockieren.

Weiteres Vorgehen

Betreiber werden aufgefordert, den Vorfall an CERT‑Bund zu melden, falls ein Angriff beobachtet wird, und regelmäßige Sicherheitsüberprüfungen durchzuführen. Weitere Informationen finden sich im vollständigen Advisory‑Dokument.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).