Twój sklep na PrestaShop działa w oparciu o wersję 1.6.0.10 lub nowszą? Sprawdź, koniecznie czy Twoi klienci mogą bezpiecznie korzystać z usług. Twórcy oprogramowania PrestaShop wydali komunikat, w którym informują o wykrytej luce bezpieczeństwa w starszej wersji oprogramowania i przestrzegają przed nasilonymi atakami cyberprzestępców.

Poważna luka w zabezpieczeniach PrestaShop

PrestaShop poinformował o wykrytej luce w oprogramowaniu, poprzez którą możliwe jest wstrzyknięcie złośliwego kodu przez cyberprzestępców i tym samym dokonanie przez nich kradzieży tożsamości klientów – począwszy od jej bazy, adresów, skończywszy na numerze karty kredytowej.

Z opublikowanych ostatnio informacji, wynika, że atakujący znaleźli sposób na ominięcie zabezpieczeń i wykorzystanie napotkanej luki do wstrzyknięcia złośliwego kodu na serwerach, na których funkcjonują witryny PrestaShop. Może on umożliwić na przykład przechwycenie danych podawanych podczas płatności.

Problem ten może dotyczyć sklepów opartych na wersji 1.6.0.10 lub nowszych, które są objęte lukami w iniekcjach SQL. Wersje 1.7.8.2 i nowsze nie są podatne, chyba że uruchamiają moduł lub niestandardowy kod, który sam zawiera lukę typu SQL injection.

Jak przebiega atak?

Aby atak został przeprowadzony skutecznie, sklep musi być podatny na ataki typy SQL injection. Najnowsze wersje oprogramowania są wolne od błędów, a sytuacja może dotyczyć sklepów, które korzystają ze starszych wersji oprogramowania bądź modułów stron trzecich lub jeszcze nieodkrytej luki.

Z obserwacji PrestaShop scenariusz wygląda następująco:

1. Atakujący przesyła żądanie POST do punktu końcowego podatnego na wstrzyknięcie SQL.
2. Następnie, zaledwie sekundę później, atakujący przesyla na stronę główną żądanie GET bez parametrów. To sprawia, że zostaje stworzony plik PHP o nazwie blm.php w głównym katalogu sklepu. Żądanie GET jest teraz przesyłane do tego nowego utworzonego pliku, umożliwiając jednocześnie wykonanie dowolnych instrukcji.
3. Atakujący przejmuje kontrolę nad działaniem sklepu. Modyfikuje formę płatności. Niczego nie świadomy Klient wprowadzając informacje o swojej karcie kredytowej w fałszywym formularzu naraża swoją tożsamość na niebezpieczeństwo.

W tym scenariuszu klienci sklepu mogą wprowadzić informacje o swojej karcie kredytowej w fałszywym formularzu i nieświadomie wysłać je atakującym.

Taka sama sytuacja może dotyczyć innych informacji i danych Twojego sklepu. Poprzez umieszczenie innej nazwy pliku, atakujący mogą modyfikować kolejne części oprogramowania, poprzez wstrzykiwanie złośliwego kodu w innym miejscu, precyzyjnie zacierając po tym zdarzeniu ślad.

Co zrobić, aby Twój sklep był bezpieczny?

Po pierwsze sprawdź z jakich wersji oprogramowania korzystasz. Twój sklep i wszystkie moduły powinny być zaktualizowane do najnowszej wersji.

Jak czytamy w oficjalnym komunikacje PrestaShop, atakujący mogą używać funkcji przechowywania pamięci podręcznej MySQL Smarty jako części ataku. Pomimo jej znikomej aktywności i domyślnym wyłączeniu, mogą ją uruchomić zdalnie. Do momentu rozwiązania sytuacji, zalecane jest wyłączenie tej funkcji w kodzie PrestaShop.

Jak to zrobić?

Zlokalizuj plik config/smarty.config.inc.php w swojej instalacji PrestaShop i usuń wiersze 43-46 (PrestaShop 1.7) lub 40-43 (PrestaShop 1.6).

https://build.prestashop.com/news/major-security-vulnerability-on-prestashop-websites/

Jak sprawdzić czy zostałeś zaatakowany?

W ramach wyżej przestawionego scenariusza, możesz przejrzeć dziennik dostępu serwera.

Musimy zdawać sobie sprawę, że złożoność wykrytej luki umożliwia wstrzyknięcie złośliwego kodu na co najmniej kilka sposobów. Jednocześnie osoby atakujące sprytnie zacierają ślady swojej aktywności.

Aby wzmocnić pamięć podręczną MySQL Smarty przed atakami wstrzykiwania kodu – wydano PrestaShop 1.7.8.7. Ważne jest aktualizowanie systemu, aby zapobiec takim atakom – czyli regularne aktualizowanie zarówno oprogramowania PrestaShop, jego modułów, jak i środowiska serwerowego.

Źródło
oficjalny komunikat PrestaShop

>
Katarzyna Węgiel
Pasjonatka i praktyk działań inbound marketing. Prywatnie miłośniczka bliższych i dalszych wycieczek rowerowych.

7 odpowiedzi do "Poważna luka w zabezpieczeniach witryn PrestaShop"

  1. Sandra pisze:

    Dzięki informacje i za rzeczowe wyjaśnienie problemu 🙂 Dobrze, że jesteście.

    1. Katarzyna Węgiel pisze:

      Sandra, mamy nadzieję, że Twój sklep jest bezpieczny 🙂

  2. Tomek pisze:

    Niestety po usunięciu podanych wierszy : HTTP error 500

    1. Tomasz Urbański pisze:

      Przed usunięciem wskazanego w artykule kodu, upewnij się, że nie korzystasz z MySQL cache. Jeśli problem nadal będzie występował, pomocny będzie przegląd logów błędów – znajdziesz je w panelu DirectAdmin.

  3. AppleFix pisze:

    Już wysyłam informację do mojego zespołu. Teraz już wiem dlaczego jesteście u mnie w ulubionych 🙂

  4. Michał pisze:

    Dzięki za reakcję i ostrzeżenie. Jakość obsługi na najwyższym poziomie:)

  5. Sanjo pisze:

    Dlatego wolę płacić abonament i korzystać z gotowego rozwiązania Sass. Wówczas przynajmniej w teorii ktoś za mnie zajmuje się zabezpieczeniami

Dodaj komentarz

Twój adres e-mail nie będzie opublikowany.

Polecane dla Ciebie

Szukasz dalej?