Новая уязвимость 'PolyShell' позволяет выполнять удаленное выполнение кода без аутентификации в интернет-магазинах Magento.

[zender]

Недавно обнаруженная уязвимость, получившая название «PolyShell», затрагивает все установленные версии Magento Open Source и Adobe Commerce stable version 2, позволяя выполнять несанкционированный код и захватывать учетные записи.


Признаков активного использования уязвимости в реальных условиях пока нет, однако компания Sansec, специализирующаяся на безопасности электронной коммерции, предупреждает, что «метод эксплуатации уже распространяется» и ожидает скорого начала автоматизированных атак.


Компания Adobe выпустила исправление, но оно доступно только во второй альфа-версии 2.4.9, что делает уязвимыми рабочие версии. Sansec утверждает, что Adobe предлагает «пример конфигурации веб-сервера, который в значительной степени ограничит последствия», но большинство магазинов используют настройку от своего хостинг-провайдера.


В опубликованном на этой неделе отчете компания Sansec заявляет, что проблема безопасности кроется в том, что REST API Magento принимает загрузку файлов в качестве части пользовательских опций для товара в корзине.


«Когда у опции товара указан тип 'file', Magento обрабатывает встроенный объект file_info, содержащий закодированные в base64 данные файла, MIME-тип и имя файла. Файл записывается в папку pub/media/custom_options/quote/ на сервере», — объясняют исследователи

Компания Sansec заявляет, что название «PolyShell» происходит от использования полиглотного файла, который может выступать одновременно и в качестве изображения, и в качестве скрипта.


В зависимости от конфигурации веб-сервера, уязвимость может привести к удаленному выполнению кода (RCE) или захвату учетной записи посредством хранимой XSS-атаки, что затронет большинство хранилищ, проанализированных Sansec.


«Компания Sansec провела расследование во всех известных магазинах, использующих платформы Magento и Adobe Commerce, и обнаружила, что во многих из них файлы находятся в каталоге для загрузки».


До тех пор, пока Adobe не выпустит исправление для рабочих версий, администраторам магазинов рекомендуется предпринять следующие действия:

• Ограничить доступ к pub/media/custom_options
• Убедитесь, что правила nginx или Apache действительно блокируют доступ к этому ресурсу.
• Просканируйте магазины приложений на наличие загруженных шелл, бэкдоров или другого вредоносного ПО.

Издание BleepingComputer обратилось в Adobe с вопросом о сроках выхода обновления безопасности для PolyShell, но на момент публикации ответа не получило.