Phát hiện lỗ hổng RCE và XXE trên Magento

[WhiteHat News #ID:0911]

Các nhà nghiên cứu vừa tìm thấy 2 lỗ hổng XXE (XML eXternal Entity) và RCE (Remote Code Execution) trên nên tảng thương mại điện tử Magento.

​

Cả 2 lỗ hổng đều được báo cho eBay, chủ sở hữu hiện tại của Magento. Hãng đã vá và phát hành phiên bản mới cho nền tảng này. Hai lỗ hổng được công bố cùng 1 ngày nhưng lại không có mối liên quan gì tới nhau.

Lỗ hổng đầu tiên – XXE rất phức tạp và khó hiểu. Mặc dù lỗi này nghiêm trong nhưng eBay chỉ xác định độ nguy hiểm của có ở mức “cao/nghiêm trọng” và có số điểm CVSS là 7,5/10.

Theo chuyên gia Dawid Golunski, bằng cách sử dụng file mã hóa nhiều byte trong XML, tin tặc có khả năng vượt mặt các cơ chế lọc và thực hiện các cuộc tấn công XXE. Điều này có thể dẫn tới những cuộc tấn công DoS, thậm chí là thực thi mã từ xa trên nền tảng Magento.

Cụ thể hơn, lỗ hổng nằm trong thành phần Zend_XmlRpc_Server và Zend_SOAP_Server, được sử dụng cho các giao diện người dùng XML/SOAP của Magento.

Theo nghiên cứu, các phiên bản bị ảnh hưởng bao gồm Magento Community từ 1.9.2.1 trở xuống, Magento Enterprise từ 1.4.2.1 trở xuống.

Lỗ hổng thứ 2, nằm trong Interweb, là một lỗi cho phép thực thi mã từ xa RCE, tận dụng các trường mẫu không lọc trong thao tác cài đặt gói tin. Lỗ hổng cho phép khởi chạy mã PHP không hợp lệ từ trình cài đặt.

Hình thức khai thác này đòi hỏi sự hiện diện của thư mục cài đặt trên máy chủ. Rất ít webmaster được đào tạo bài bản quên xóa hoặc đổi tên thư mục này. Magento, nền tảng mua sắm trực tuyến hàng đầu, chắc chắn đòi hỏi một trình độ cao hơn như vậy.

Sau khi điều tra thêm về mã khai thác XXE injection, Magento cho biết 6.788 site bị lỗi hiện được công bố thông qua MageReport.

Nguồn: Softpedia​