In una piattaforma aperta per organizzare l'e-commerce , che dura circa mercato dei sistemi per la creazione di negozi online, vulnerabilità, la cui combinazione ti consente di sferrare un attacco per eseguire il tuo codice sul server, ottenere il pieno controllo sul negozio online e organizzare il reindirizzamento dei pagamenti. Vulnerabilità nelle versioni Magento 2.3.2, 2.2.9 e 2.1.18, che insieme hanno risolto 75 problemi di sicurezza.
Un problema consente a un utente non autenticato di ottenere il posizionamento JavaScript (XSS) che può essere eseguito quando si visualizza la cronologia degli acquisti annullati nell'interfaccia di amministrazione. L'essenza della vulnerabilità è la possibilità di aggirare l'operazione di pulizia del testo utilizzando la funzione escapeHtmlWithLinks() durante l'elaborazione di una nota nel modulo di cancellazione nella schermata di pagamento (utilizzando il tag "a href=http://onmouseover=..." annidato in un altro tag). Il problema si manifesta quando si utilizza il modulo Authorize.Net integrato, utilizzato per accettare pagamenti con carta di credito.
Per ottenere il pieno controllo utilizzando il codice JavaScript nel contesto della sessione corrente di un dipendente del negozio, viene sfruttata una seconda vulnerabilità, che consente di caricare un file phar sotto le spoglie di un'immagine ( "Deserializzazione Phar"). Il file Phar può essere caricato tramite il modulo di inserimento immagini nell'editor WYSIWYG integrato. Dopo aver eseguito il proprio codice PHP, l'aggressore può modificare i dati di pagamento o intercettare i dati della carta di credito del cliente.
È interessante notare che le informazioni sul problema XSS sono state inviate agli sviluppatori Magento già nel settembre 2018, dopodiché alla fine di novembre è stata rilasciata una patch che, come si è scoperto, elimina solo uno dei casi speciali ed è facilmente aggirabile. Nel mese di gennaio è stata inoltre segnalata la possibilità di scaricare un file Phar sotto forma di immagine e si è dimostrato come una combinazione di due vulnerabilità potrebbe essere utilizzata per compromettere i negozi online. Alla fine di marzo in Magento 2.3.1,
2.2.8 e 2.1.17 hanno risolto il problema con i file Phar, ma hanno dimenticato la correzione XSS, sebbene il ticket di emissione fosse chiuso. Ad aprile, l'analisi XSS è ripresa e il problema è stato risolto nelle versioni 2.3.2, 2.2.9 e 2.1.18.
Va notato che queste versioni risolvono anche 75 vulnerabilità, 16 delle quali sono classificate come critiche, e 20 problemi possono portare all'esecuzione di codice PHP o alla sostituzione di SQL. La maggior parte dei problemi critici può essere commessa solo da un utente autenticato, ma come mostrato sopra, le operazioni autenticate possono essere facilmente eseguite utilizzando le vulnerabilità XSS, di cui diverse dozzine sono state corrette nelle versioni note.
Fonte: opennet.ru