Dalam platform terbuka untuk menganjurkan e-dagang , yang mengambil masa kira-kira pasaran sistem untuk mencipta kedai dalam talian, kelemahan, gabungan yang membolehkan anda melakukan serangan untuk melaksanakan kod anda pada pelayan, mendapatkan kawalan penuh ke atas kedai dalam talian dan mengatur pengalihan pembayaran. Kelemahan dalam Magento mengeluarkan 2.3.2, 2.2.9 dan 2.1.18, yang bersama-sama membetulkan 75 isu keselamatan.
Satu isu membenarkan pengguna yang tidak disahkan mencapai peletakan JavaScript (XSS) yang boleh dilaksanakan apabila melihat sejarah pembelian yang dibatalkan dalam antara muka pentadbir. Intipati kelemahan ialah keupayaan untuk memintas operasi pembersihan teks menggunakan fungsi escapeHtmlWithLinks() apabila memproses nota dalam borang pembatalan pada skrin pembayaran (menggunakan teg "a href=http://onmouseover=..." bersarang dalam tag lain). Masalahnya nyata apabila menggunakan modul Authorize.Net terbina dalam, yang digunakan untuk menerima pembayaran kad kredit.
Untuk mendapatkan kawalan penuh menggunakan kod JavaScript dalam konteks sesi semasa pekerja kedai, kelemahan kedua dieksploitasi, yang membolehkan anda memuatkan fail phar di bawah nama imej ( "Penyahserialisasian Phar"). Fail Phar boleh dimuat naik melalui borang sisipan imej dalam editor WYSIWYG terbina dalam. Setelah mencapai pelaksanaan kod PHPnya, penyerang kemudiannya boleh menukar butiran pembayaran atau memintas maklumat kad kredit pelanggan.
Menariknya, maklumat tentang masalah XSS telah dihantar kepada pembangun Magento pada September 2018, selepas itu tampalan dikeluarkan pada akhir November, yang ternyata, hanya menghapuskan satu daripada kes khas dan mudah dielakkan. Pada bulan Januari, ia juga dilaporkan tentang kemungkinan memuat turun fail Phar di bawah samaran imej dan menunjukkan bagaimana gabungan dua kelemahan boleh digunakan untuk menjejaskan kedai dalam talian. Pada akhir bulan Mac dalam Magento 2.3.1,
2.2.8 dan 2.1.17 membetulkan masalah dengan fail Phar, tetapi terlupa pembetulan XSS, walaupun tiket keluaran telah ditutup. Pada bulan April, penghuraian XSS disambung semula dan isu itu telah dibetulkan dalam keluaran 2.3.2, 2.2.9 dan 2.1.18.
Perlu diingatkan bahawa keluaran ini juga membetulkan 75 kelemahan, 16 daripadanya dinilai sebagai kritikal, dan 20 isu boleh membawa kepada pelaksanaan kod PHP atau penggantian SQL. Kebanyakan masalah kritikal hanya boleh dilakukan oleh pengguna yang disahkan, tetapi seperti yang ditunjukkan di atas, operasi yang disahkan boleh dicapai dengan mudah menggunakan kelemahan XSS, yang mana beberapa dozen telah ditampal dalam keluaran yang dinyatakan.
Sumber: opennet.ru