Công cụ hỗ trợ nhập dữ liệu lên Magento tồn tại lỗ hổng zero-day

[WhiteHat News #ID:3333]

Các nhà nghiên cứu vừa phát hiện lỗ hổng zezo-day trên Magmi, công cụ được sử dụng để đăng nội dung trên nền tảng thương mại điện tử Magento.

Lỗ hổng tồn tại trên một số phiên bản Magmi, công cụ được sử dụng để đưa một lượng lớn dữ liệu vào cơ sở dữ liệu SQL của Magento. Lỗi cho phép truy cập file hoặc các thư mục trên một hệ thống file.

​

Nhà nghiên cứu Assi Barak cho biết: “Khai thác thành công lỗ hổng này, hacker có thể truy cập các thông tin đăng nhập site Magento, cũng như key mã hóa cơ sở dữ liệu”.

Magmi có thể tải về từ GitHub hoặc SourceForge, nhưng chỉ phiên bản trên SourceForge có lỗi.

Phiên bản Magmi trên SourceForge, 0.7.21 được cập nhật gần nhất này 2/12/2014, trong khi phiên bản trên GitHub mới được cập nhật tháng trước không hề có lỗ hổng.

Các nhà nghiên cứu phát hiện ra vấn đề khi một truy vấn HTTP có dấu hiệu đang bị khai thác. Cấu trúc của truy vấn có chứa cụm "../.." cho thấy nỗ lực truy cập file password Linux bằng việc dò đường dẫn.

Điều này cũng cho thấy hacker đã biết về sự tồn tại của lỗ hổng và biết cả cách khai thác lỗi.

Phiên bản có lỗ hổng trên SourceForge có 2.800 lượt tải trong tháng 9. Trên trang SourcePage cũng cho thấy lượng tải trong tuần này lên tới hơn 500 lượt.

Theo: Computer Word​