Na otevřené platformě pro organizaci elektronického obchodování , která obsazuje přibližně trh systémů pro vytváření internetových obchodů, zranitelnosti, jejichž kombinace umožňuje provést útok na vzdálené spuštění kódu na serveru, získat plnou kontrolu nad internetovým obchodem a zorganizovat přesměrování plateb. Zranitelnosti ve verzích Magento 2.3.2, 2.2.9 a 2.1.18, ve kterých bylo celkem opraveno 75 problémů souvisejících s bezpečností.
Jedním z problémů umožňuje neautentizovanému uživateli vložit JavaScriptový kód (XSS), který může být proveden při zobrazení protokolu zrušených nákupů v administrátorském rozhraní. Podstata zranitelnosti spočívá v možnosti obejít operaci čištění textu pomocí funkce escapeHtmlWithLinks() při zpracování poznámky ve formě zrušení na obrazovce zahájení nákupu (použití tagu «a href=http://onmouseover=…» uvnitř jiného tagu). Problém se projevuje při použití integrovaného modulu Authorize.Net, který slouží k přijímání plateb kartou.
Aby útočník získal plnou kontrolu pomocí JavaScriptového kódu v kontextu aktuálního sezení zaměstnance obchodu, je zneužita druhá zranitelnost, která umožňuje nahrát phar soubor pod záminkou obrázku ( «Phar deserialization»). Phar soubor může být nahrán prostřednictvím formuláře pro vložení obrázků v integrovaném WYSIWYG editoru. Když útočník spustí svůj PHP kód, může poté změnit platební údaje nebo zorganizovat zachycení informací o kreditních kartách zákazníků.
Zajímavé je, že informace o problému XSS byly zaslány vývojářům Magento již v září 2018, po čemž na konci listopadu byla vydána záplata, která, jak se ukázalo, opravuje pouze jeden z konkrétních případů a snadno se obchází. V lednu bylo navíc ohlášeno, že je možné nahrát Phar soubor pod záminkou obrázku a ukázáno, jak může kombinace dvou zranitelností být využita k ohrožení internetových obchodů. Na konci března byla v Magento 2.3.1,
2.2.8 a 2.1.17 opravena problematika s Phar soubory, ale oprava XSS byla opomenuta, i když tiket ohledně problému byl uzavřen. V dubnu bylo znovu zahájeno vyšetřování problému XSS a problém byl opraven ve verzích 2.3.2, 2.2.9 a 2.1.18.
Je třeba poznamenat, že v uvedených vydáních bylo také odstraněno 75 zranitelností, z nichž 16 má hodnocení kritické úrovně nebezpečnosti, a 20 problémů může vést k provádění PHP kódu nebo vkládání SQL operací. Většinu kritických problémů může způsobit pouze autentizovaný uživatel, ale jak bylo uvedeno výše, dosažení provádění autentizovaných operací není obtížné pomocí XSS zranitelností, kterých bylo v uvedených vydáních odstraněno několik desítek.
Zdroj: opennet.ru
