Lỗ hổng “PolyShell” đe dọa hàng loạt cửa hàng trực tuyến Magento

[WhiteHat Team]

Một lỗ hổng bảo mật mới với tên gọi "PolyShell" vừa được công bố, gây ảnh hưởng nghiêm trọng đến tất cả các phiên bản ổn định của Magento Open Source và Adobe Commerce phiên bản 2. Lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa và chiếm đoạt tài khoản mà không cần xác thực, đặt hàng nghìn doanh nghiệp thương mại điện tử vào tình thế báo động.
​

Theo báo cáo từ công ty bảo mật thương mại điện tử Sansec, PolyShell tận dụng sai sót trong cách xử lý tệp tin tải lên của giao diện lập trình ứng dụng REST API trên Magento. Cụ thể, khi một sản phẩm có tùy chọn định dạng tệp, hệ thống sẽ xử lý các đối tượng chứa dữ liệu tệp mã hóa, loại MIME và tên tệp, sau đó ghi trực tiếp vào thư mục pub/media/custom_options/quote/ trên máy chủ.

Tên “PolyShell” xuất phát từ việc sử dụng các tệp tin đa hình (polyglot file) - loại tệp có thể vừa đóng vai trò là một hình ảnh thông thường, vừa hoạt động như mã kịch bản độc hại. Tùy thuộc vào cấu hình của máy chủ web, kẻ tấn công có thể kích hoạt thực thi mã từ xa hoặc chiếm đoạt tài khoản thông qua lỗ hổng XSS lưu trữ, ảnh hưởng đến hầu hết các cửa hàng Magento mà Sansec đã khảo sát. Do đó, các quản trị viên nên kiểm tra thư mục tải lên và hạn chế quyền truy cập để giảm thiểu rủi ro.

Hiện tại chưa có dấu hiệu lỗ hổng này bị khai thác hàng loạt trên thực tế, nhưng Sansec cảnh báo rằng các phương thức khai thác đã bắt đầu rò rỉ và lan truyền trong giới tội phạm mạng, dự kiến các đợt tấn công tự động sẽ sớm xuất hiện. Adobe đã phát hành bản sửa lỗi, nhưng hiện chỉ có trong bản thử nghiệm của phiên bản 2.4.9, đồng nghĩa với việc các phiên bản đang vận hành chính thức vẫn chưa được bảo vệ triệt để. Bên cạnh đó, hầu hết cửa hàng vẫn sử dụng cấu hình web server do nhà cung cấp hosting thiết lập, khiến nguy cơ bị khai thác vẫn rất cao.

Trong khi chờ đợi bản vá chính thức cho các phiên bản thương mại, các chuyên gia an ninh mạng khuyến cáo quản trị viên các cửa hàng trực tuyến cần thực hiện ngay các biện pháp sau để giảm thiểu rủi ro:

• Hạn chế truy cập vào thư mục pub/media/custom_options/
• Xác nhận rằng các quy tắc trên nginx hoặc Apache thực sự ngăn truy cập thư mục này
• Quét cửa hàng để phát hiện các tệp shell, backdoor hoặc phần mềm độc hại khác

Theo Bleeping Computer​