75 ຊ່ອງໂຫວ່ຖືກແກ້ໄຂໃນແພລະຕະຟອມອີຄອມເມີຊ Magento

ໃນເວທີເປີດສໍາລັບການຈັດຕັ້ງ e-commerce ວີໂອໄອພີ, ເຊິ່ງໃຊ້ເວລາປະມານ 20% ຕະຫຼາດລະບົບການສ້າງຮ້ານຄ້າອອນໄລນ໌, ກໍານົດ ຄວາມອ່ອນແອ, ການປະສົມປະສານທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດການໂຈມຕີເພື່ອປະຕິບັດລະຫັດຂອງທ່ານໃນເຄື່ອງແມ່ຂ່າຍ, ໄດ້ຮັບການຄວບຄຸມຢ່າງເຕັມທີ່ໃນຮ້ານອອນໄລນ໌ແລະຈັດຕັ້ງການປ່ຽນເສັ້ນທາງຂອງການຈ່າຍເງິນ. ຊ່ອງໂຫວ່ ລົບລ້າງ ໃນ Magento ປ່ອຍ 2.3.2, 2.2.9 ແລະ 2.1.18, ເຊິ່ງຮ່ວມກັນແກ້ໄຂບັນຫາຄວາມປອດໄພ 75 ຢ່າງ.

ບັນຫາຫນຶ່ງອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຮັບການຢືນຢັນເພື່ອບັນລຸການຈັດວາງ JavaScript (XSS) ທີ່ສາມາດປະຕິບັດໄດ້ໃນເວລາທີ່ເບິ່ງປະຫວັດການຊື້ທີ່ຖືກຍົກເລີກໃນການໂຕ້ຕອບ admin. ໂດຍເນື້ອແທ້ແລ້ວຂອງຊ່ອງໂຫວ່ແມ່ນຄວາມສາມາດທີ່ຈະຂ້າມການທໍາຄວາມສະອາດຂໍ້ຄວາມໂດຍໃຊ້ຟັງຊັນ escapeHtmlWithLinks() ເມື່ອປະມວນຜົນບັນທຶກໃນຮູບແບບການຍົກເລີກໃນຫນ້າຈໍເຊັກເອົາ (ໂດຍໃຊ້ແທັກ "a href=http://onmouseover=..." ຕິດຢູ່ໃນແທັກອື່ນ). ບັນຫາປະກົດຕົວມັນເອງເມື່ອໃຊ້ໂມດູນ Authorize.Net ທີ່ມີໃນຕົວ, ເຊິ່ງໃຊ້ເພື່ອຮັບເອົາການຊໍາລະດ້ວຍບັດເຄຣດິດ.

ເພື່ອໃຫ້ໄດ້ຮັບການຄວບຄຸມຢ່າງເຕັມທີ່ໂດຍໃຊ້ລະຫັດ JavaScript ໃນສະພາບການຂອງກອງປະຊຸມປະຈຸບັນຂອງພະນັກງານຮ້ານ, ຊ່ອງໂຫວ່ທີສອງຖືກຂູດຮີດ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດໂຫລດໄຟລ໌ phar ພາຍໃຕ້ການສະແດງອອກຂອງຮູບພາບ (ຖື ການໂຈມຕີ "Phar deserialization"). ໄຟລ໌ Phar ສາມາດຖືກອັບໂຫລດຜ່ານແບບຟອມການໃສ່ຮູບພາບໃນຕົວແກ້ໄຂ WYSIWYG ທີ່ມີໃນຕົວ. ໂດຍໄດ້ບັນລຸການປະຕິບັດລະຫັດ PHP ຂອງລາວ, ຜູ້ໂຈມຕີສາມາດປ່ຽນລາຍລະອຽດການຈ່າຍເງິນຫຼືຂັດຂວາງຂໍ້ມູນບັດເຄຣດິດຂອງລູກຄ້າ.

ຫນ້າສົນໃຈ, ຂໍ້ມູນກ່ຽວກັບບັນຫາ XSS ໄດ້ຖືກສົ່ງໄປຫາຜູ້ພັດທະນາ Magento ກັບຄືນໄປບ່ອນໃນເດືອນກັນຍາ 2018, ຫຼັງຈາກນັ້ນ patch ໄດ້ຖືກປ່ອຍອອກມາໃນທ້າຍເດືອນພະຈິກ, ເຊິ່ງ, ຍ້ອນວ່າມັນໄດ້ຫັນອອກ, ລົບລ້າງພຽງແຕ່ຫນຶ່ງໃນກໍລະນີພິເສດແລະສາມາດຫລີກລ້ຽງໄດ້ງ່າຍ. ໃນເດືອນມັງກອນ, ມັນໄດ້ຖືກລາຍງານຕື່ມອີກກ່ຽວກັບຄວາມເປັນໄປໄດ້ຂອງການດາວໂຫລດໄຟລ໌ Phar ພາຍໃຕ້ການສະແດງອອກຂອງຮູບພາບແລະສະແດງໃຫ້ເຫັນວ່າການລວມກັນຂອງສອງຊ່ອງໂຫວ່ສາມາດຖືກນໍາໃຊ້ເພື່ອປະນີປະນອມກັບຮ້ານຄ້າອອນໄລນ໌. ໃນຕອນທ້າຍຂອງເດືອນມີນາໃນ Magento 2.3.1,
2.2.8 ແລະ 2.1.17 ແກ້ໄຂບັນຫາກັບໄຟລ໌ Phar, ແຕ່ລືມການແກ້ໄຂ XSS, ເຖິງແມ່ນວ່າປີ້ບັນຫາຖືກປິດ. ໃນເດືອນເມສາ, ການວິເຄາະ XSS ສືບຕໍ່ແລະບັນຫາໄດ້ຖືກແກ້ໄຂໃນການປ່ອຍ 2.3.2, 2.2.9, ແລະ 2.1.18.

ມັນຄວນຈະສັງເກດວ່າການປ່ອຍເຫຼົ່ານີ້ຍັງແກ້ໄຂ 75 ຊ່ອງໂຫວ່, 16 ອັນທີ່ຖືກຈັດອັນດັບເປັນຄວາມສໍາຄັນ, ແລະ 20 ບັນຫາສາມາດນໍາໄປສູ່ການປະຕິບັດລະຫັດ PHP ຫຼືການທົດແທນ SQL. ບັນຫາສໍາຄັນສ່ວນໃຫຍ່ສາມາດຖືກປະຕິບັດໂດຍຜູ້ໃຊ້ທີ່ມີການກວດສອບຄວາມຖືກຕ້ອງເທົ່ານັ້ນ, ແຕ່ດັ່ງທີ່ສະແດງຂ້າງເທິງ, ການປະຕິບັດການຢັ້ງຢືນສາມາດເຮັດໄດ້ງ່າຍໂດຍການນໍາໃຊ້ຊ່ອງໂຫວ່ XSS, ເຊິ່ງຫຼາຍສິບຄົນໄດ້ຖືກປັບປຸງແກ້ໄຂໃນການປ່ອຍທີ່ບັນທຶກໄວ້.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru