Nếu doanh nghiệp thương mại điện tử trực tuyến của bạn đang chạy trên nền tảng Magento, bạn phải chú ý đến thông tin này.
Magento hôm qua đã phát hành phiên bản mới của phần mềm quản lý nội dung để giải quyết tổng cộng 37 lỗ hổng bảo mật mới được phát hiện.
Được sở hữu bởi Adobe từ giữa năm 2018, Magento là một trong những nền tảng hệ thống quản lý nội dung (CMS) phổ biến nhất cung cấp 28% trang web trên Internet với hơn 250.000 thương nhân sử dụng nền tảng thương mại điện tử nguồn mở.
Mặc dù hầu hết các vấn đề được báo cáo chỉ có thể được khai thác bởi người dùng đã được xác thực, một trong những lỗ hổng nghiêm trọng nhất trong Magento là lỗ hổng SQL Injection có thể bị khai thác bởi những kẻ tấn công từ xa không được xác thực.
Lỗ hổng không có ID CVE nhưng được gắn nhãn nội bộ “PRODSECBUG-2198” có thể cho phép tin tặc từ xa đánh cắp thông tin nhạy cảm từ cơ sở dữ liệu của các trang web thương mại điện tử dễ bị tấn công, bao gồm cả phiên quản trị viên hoặc băm mật khẩu có thể cấp cho tin tặc truy cập vào bảng điều khiển của quản trị viên.
Các phiên bản Magento bị ảnh hưởng bao gồm:
- Mã nguồn mở Magento trước 1.9.4.1
- Magento Commerce trước 1.14.4.1
- Magento Commerce 2.1 trước 2.1.17
- Magento Commerce 2.2 trước 2.2.8
- Magento Commerce 2.3 trước 2.3.1
Vì các trang web Magento không chỉ lưu trữ thông tin của người dùng mà còn chứa lịch sử đặt hàng và thông tin tài chính của khách hàng, lỗ hổng này có thể dẫn đến các cuộc tấn công trực tuyến thảm khốc.
Do tính chất nhạy cảm của dữ liệu mà các trang web thương mại điện tử Magento xử lý hàng ngày cũng như rủi ro mà lỗ hổng SQL thể hiện, các nhà phát triển Magento đã quyết định không tiết lộ chi tiết kỹ thuật về lỗ hổng.
Bên cạnh lỗ hổng SQLi, Magento cũng đã vá lỗi giả mạo yêu cầu chéo trang (CSRF), kịch bản chéo trang (XSS), thực thi mã từ xa (RCE) và các lỗi khác, nhưng việc khai thác phần lớn các lỗ hổng đó yêu cầu kẻ tấn công phải được xác thực các trang web với một số mức độ đặc quyền.
Chủ cửa hàng trực tuyến được khuyến khích nâng cấp các trang web thương mại điện tử của họ lên các phiên bản được vá gần đây càng sớm càng tốt trước khi tin tặc bắt đầu khai thác lỗ hổng để thỏa hiệp trang web của bạn và đánh cắp thông tin thẻ thanh toán của khách hàng.
(Theo thehackernews)