Na otvorenoj platformi za organizaciju elektroničkog poslovanja , koja drži oko tržišnog udjela sustava za izradu internetskih trgovina, ranjivosti, čija kombinacija omogućava napad za izvršavanje vlastitog koda na poslužitelju, stjecanje potpune kontrole nad internetskom trgovinom i organizaciju preusmjeravanja uplata. Ranjivosti u izdanjima Magento 2.3.2, 2.2.9 i 2.1.18, u kojima je ukupno ispravljeno 75 problema vezanih uz sigurnost.
Jedan od problema omogućava neautentificiranom korisniku da postavi JavaScript kod (XSS), koji se može izvršiti prilikom pregledavanja evidencije otkazanih kupnji u administratorskom sučelju. Bit ranjivosti je u mogućnosti zaobilaženja operacije čišćenja teksta pomoću funkcije escapeHtmlWithLinks() prilikom obrade bilješke u obrascu otkazivanja na ekranu početka procesa kupnje (upotreba ugrađenog tag-a 'a href=http://onmouseover=…'). Problem se manifestira prilikom korištenja ugrađenog modula Authorize.Net, putem kojeg se vrše uplati putem kreditnih kartica.
Za stjecanje potpune kontrole putem JavaScript koda u kontekstu trenutne sesije zaposlenika trgovine iskorištava se druga ranjivost, koja omogućava učitavanje phar datoteke pod krinkom slike ( „Phar deserialization“). Phar datoteka može biti učitana putem obrasca za umetanje slika u ugrađenom WYSIWYG uređivaču. Postizanje izvršenja vlastitog PHP koda omogućava napadaču da zatim promijeni podatke o uplati ili organizira presretanje informacija o kreditnim karticama kupaca.
Zanimljivo je da su podaci o XSS problemu poslani programerima Magento-u još u rujnu 2018. godine, nakon čega je krajem studenog izdan zakrpa koja, kako se ispostavilo, ispravlja samo jedan od specifičnih slučajeva i može se lako zaobići. U siječnju su dodatno javili o mogućnosti učitavanja Phar datoteke pod krinkom slike i pokazano je kako kombinacija dviju ranjivosti može biti iskorištena za kompromitaciju internetskih trgovina. Krajem ožujka su u Magento 2.3.1,
2.2.8 i 2.1.17 ispravljena je ranjivost s Phar datotekama, ali zaboravljena su ispravka XSS, iako je tiket o problemu zatvoren. U travnju je rasprava o XSS ponovno pokrenuta i problem je ispravljen u izdanjima 2.3.2, 2.2.9 i 2.1.18.
Važno je napomenuti da su u navedenim izdanjima ispravljena 75 ranjivosti, od kojih je 16 označeno kao kritične, a 20 problema može dovesti do izvršavanja PHP koda ili SQL injekcija. Većina kritičnih problema može se ostvariti samo kroz autentificiranog korisnika, no, kao što je već prikazano, izvođenje autentificiranih operacija nije teško postići putem XSS ranjivosti, od kojih je u navedenim izdanjima ispravljeno nekoliko desetaka.
Izvor: opennet.ru
