75 sårbarheter har åtgärdats i e-handelsplattformen Magento

På den öppna plattformen för e-handelsorganisationer Magento, som upptar omkring 20% marknaden för system för att skapa webbshoppar, identifierats sårbarheter, vars kombination möjliggör attacker för att köra sin kod på servern, få full kontroll över webbshoppen och organisera omdirigering av betalningar. Sårbarheterna lösta i versionerna Magento 2.3.2, 2.2.9 och 2.1.18, där totalt 75 säkerhetsproblem har åtgärdats.

Ett av problemen gör att en icke-autentiserad användare kan åstadkomma att JavaScript-kod (XSS) placeras, vilket kan köras när man granskar loggen över avbrutna köp i administrationsgränssnittet. Kärnan i sårbarheten är möjligheten att kringgå textrensningsoperationen via funktionen escapeHtmlWithLinks() vid bearbetning av anteckningen i avbokningsformuläret på början av kassan (användning av en tagg inuti en annan tagg). Problemet uppstår vid användning av den inbyggda modulen Authorize.Net, som används för att ta emot betalningar med kreditkort.

För att få full kontroll via JavaScript-kod i kontexten av den nuvarande sessionen för butikspersonalen utnyttjas den andra sårbarheten, som tillåter att en phar-fil laddas upp som en bild (genomförande attacker «Phar deserialization»). Phar-filen kan laddas upp via formuläret för att infoga bilder i den inbyggda WYSIWYG-redigeraren. Genom att få sin PHP-kod att köras kan angriparen sedan ändra betalningsinformation eller organisera avlyssning av kundernas kreditkortsuppgifter.

Intressant nog skickades information om XSS-problemet till Magento-utvecklarna redan i september 2018, varefter ett patch släpptes i slutet av november, som visade sig åtgärda endast ett av de specifika fallen och lätt kunde kringgås. I januari rapporterades dessutom möjligheten att ladda upp en Phar-fil under förespeglingen av en bild, och det visades hur kombinationen av två sårbarheter kan utnyttjas för att kompromettera webbshoppar. I slutet av mars åtgärdades problemet med Phar-filer i Magento 2.3.1,
2.2.8 och 2.1.17, men XSS-fixet glömdes bort, trots att biljetten för problemet stängdes. I april återupptogs granskningen av XSS och problemet åtgärdades i versionerna 2.3.2, 2.2.9 och 2.1.18.

Det bör noteras att de angivna utgåvorna också åtgärdat 75 sårbarheter, där nivåerna för 16 av dessa markerats som kritiska, och 20 problem kan leda till körning av PHP-kod eller SQL-injektioner. De flesta kritiska problem kan endast utnyttjas av autentiserade användare, men som visats ovan är det inte svårt att uppnå autentiserade åtgärder genom XSS-sårbarheter, av vilka det har åtgärdats flera dussin i de nämnda utgåvorna.

Källa: opennet.ru