Avaelectronic kaubanduse korraldamiseks mõeldud platvorm , mis hõlmab umbes e-poe loomise süsteemide turust, haavatavused, mille kombinatsioon võimaldab rünnakut koodi täitmiseks serveris, saavutades täieliku kontrolli e-poe üle ja korraldades maksete ümbersuunamisi. Haavatavused Magento väljaannetes 2.3.2, 2.2.9 ja 2.1.18, kus on kokku kõrvaldatud 75 turvaprobleemi.
Üks probleem võimaldab volitamata kasutajal JavaScripti koodi (XSS) paigutada, mis saab täidetud tühistatud ostude logi vaatamisel administraatori liideses. Haavatavuse olemus seisneb võimaluses ümbersuunata teksti puhastamise toiming läbi escapeHtmlWithLinks() funktsiooni, protsessides märkuse tühistamisvormis ostukoha alguses (kasutades teises sildis sisalduvat "a href=http://onmouseover=…" sildi). Probleem ilmneb, kui kasutatakse sisseehitatud moduli Authorize.Net, mille kaudu võetakse vastu krediitkaardimakseid.
Täieliku kontrolli saamiseks JavaScripti koodi kaudu, kasutades praeguse sessiooni konteksti poe töötajast, ekspluateeritakse teist haavatavust, mis võimaldab laadida phar-faili pildina ( „Phar deserialization“). Phar-faili saab laadida piltide sisestamise vormi kaudu sisseehitatud WYSIWYG-redaktoris. Pärast oma PHP-koodi täitmise saavutamist võib ründaja seejärel muuta makseandmeid või korraldada ostjate krediitkaarditeabe edastamise.
Huvitav on see, et teave XSS-probleemi kohta saadeti Magento arendajatele juba septembris 2018, pärast mida anti novembri lõpus välja plaastrit, mis, nagu selgus, kõrvaldas ainult ühe konkreetse juhtumi ja lihtsasti möödub. Jaanuaris teavitati lisaks ka võimalusest laadida Phar-faili pildina ning näidati, kuidas kahe haavatavuse kombinatsiooni saab kasutada e-poe kompromiteerimiseks. Märtsi lõpus kõrvaldas Magento 2.3.1,
2.2.8 ja 2.1.17 Phar-failide probleemi, kuid XSS lahendamine unustati, kuigi probleemi pilet suleti. Aprillis jätkati XSS analüüsi ja probleem lahendati väljaannetes 2.3.2, 2.2.9 ja 2.1.18.
Oluline on märkida, et nimetatud väljaannetes on kõrvaldatud ka 75 haavatavust, millest 16 juhul on ohutaseme märgitud kriitiliseks, ning 20 probleemi võivad viia PHP-koodi täitmiseni või SQL-operatsioonide sisestamiseni. Enamik kriitilisi probleeme on võimalikud vaid autentitud kasutaja poolt, kuid nagu eelpool näidatud, ei ole autentitud toimingute teostamine keeruline, kuna XSS-haavatavusi, mida on nimetatud väljaannetes kõrvaldatud, on mõned tosinad.
Allikas: opennet.ru
