關鍵的magento-sql注入漏洞很快就會被黑客攻擊

admin

流行的電子商務平臺Magento發布了安全補丁來修復該漏洞。研究人員說現在更新。

數千家在線商店使用的Magento內容管理系統已收到對幾個嚴重漏洞的修復，包括一個未經驗證的SQL注入漏洞，該漏洞可能很快成為攻擊者的目標。
自2018年起，Adobe旗下公司Magento發布了37個安全問題的安全補丁，這些安全問題影響到了其平臺的商業版本和開源版本。利用這些缺陷可以實現遠程代碼執行、SQL注入、跨站點腳本、權限提升、信息公開和垃圾郵件發送。
四個漏洞在通用漏洞評分系統（CVSS）中的得分高于9，這意味著它們是關鍵的。其中一個SQL注入缺陷是研究人員特別關注的問題，因為它可以在沒有身份驗證的情況下被利用。”網站安全公司Sucuri的研究人員在一篇博客文章中說：“SQL漏洞很容易被利用，我們鼓勵每個magento網站的所有者更新這些最近修補的版本，以保護他們的電子商務網站。”
研究人員已經對補丁進行了逆向工程，并為內部測試創建了一個有效的概念驗證工具。他們還沒有公開發布它，但很可能攻擊者很快就會發現如何利用這個漏洞。
一個廣受歡迎的黑客目標
由于其受歡迎程度和處理的敏感客戶數據，Magento平臺是黑客的一個吸引人的目標，并且在過去的很多次攻擊中都是目標。在過去的一年里，針對網上商店的攻擊數量總體上有所增加，一些專門從事網絡瀏覽的黑客團體在電腦上注入流氓腳本，以獲取信用卡的詳細信息。
SQL注入漏洞允許向數據庫中注入數據或從數據庫中讀取信息。即使這個特定的缺陷不能被用來直接感染一個網站，它也有可能讓攻擊者訪問一個網站上的帳戶。然后可以使用該訪問來利用此版本中修補的需要身份驗證的其他特權升級或代碼執行缺陷之一。
Sucuri的研究人員警告說：“未經身份驗證的攻擊，如在這個特定的SQL注入漏洞中所看到的攻擊，是非常嚴重的，因為它們可以自動進行，使得黑客很容易對易受攻擊的網站發起成功、廣泛的攻擊。”活動安裝的數量、易受攻擊性和成功攻擊的影響是導致此漏洞特別危險的原因。”
建議Magento Commerce和Magento開源用戶升級到新發布的版本2.3.1、2.2.8和2.1.17，具體取決于他們使用的分支機構。為了在不部署完整更新的情況下快速保護其站點，用戶還可以選擇僅手動安裝SQL注入缺陷（prodsecbug-2198）的補丁。但是，完全更新不應該延遲很長時間。
根據Sucuri的說法，站點管理員還應該監視他們的訪問日志，查看是否有/catalog/product/frontend_action_synchronize path的點擊。對該路徑的偶爾請求可能是合法的，但在短時間內大量來自同一IP地址的請求應被視為可疑請求，并可能是利用此漏洞的嘗試。