SYSS-2015-022, SYSS-2015-023: Gravierende Sicherheitslücke in Adyen Payment-API

02.05.2016 – Advisories Advisories

IT-Security Consultant Franz G. Jahn entdeckt kryptografische Schwachstellen in der Payment API von Adyen

Der Zahlungsdienstleister Adyen bietet verschiedene Möglichkeiten zur Abwicklung von Zahlungsvorgängen im Internet an. In der Programmierschnittstelle für Hosted Payment Pages konnte die SySS GmbH eine gravierende Schwachstelle identifizieren, welche es unter bestimmten Umständen erlaubt, einen Online-Einkauf ohne Durchführung einer Zahlung erfolgreich abzuschließen. Die Lücke wurde im April 2015 an den Hersteller gemeldet.

Eine angepasste Programmierschnittstelle, welche die identifizierten Schwächen behebt, wurde durch den Hersteller daraufhin im Juli 2015 bereitgestellt. Viele Integrationsmöglichkeiten der Hosted Payment Pages API sowie Beispielcode für verschiedene Programmiersprachen wurden in der Folgezeit aktualisiert und auf die neue Methode angepasst. Ende April diesen Jahres wurde schließlich auch ein aktualisiertes Magento-Plugin offiziell veröffentlicht.

Es wird empfohlen, die Integration von Adyen Hosted Payment Pages in Online-Shops umgehend zu aktualisieren und auf das neue HMAC Payment Setup umzustellen.

Informationen zu den Schwachstellen finden Sie in unseren Security Advisories/You will find detailed information about these security issues in our Security Advisories:

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.