Versi popular dari platform eCommerce open-source Magento rentan terhadap celah serangan zero-day remote code execution, menempatkan setidaknya 200.000 situs toko online dalam resiko besar. Peringatan ini dapat dari perusahaan keamanan DefenseCode, yang menemukan dan melaporkan celah ini kepada Magento bulan November lalu.
Menurut Bosko Stankovic, information security engineer di DefenseCode, meskipun telah berkali-kali memberitahi Magento, yang dimulai sejak November tahun lalu, celah ini belum juga di patch meski Magento telah merilis empat kali update versi terbaru. Versi yang paling terkena dampak Magento Community Edition versi 2.1.6 dan dibawahnya. DefenseCode tidak memeriksai Magento Enterprise, versi komersial dari paltform ini, tetapi harus waspada karena keduanya berbagi code dasar yang sama.
Magento membenarkan adanya celah ini pada sebuah pernyataan singkat dan mengatakan sedang menyelidiki.
Celah Remote code execution (RCE) terkait dengan fitur standar di Magento Community Edition yang memungkinkan administrator untuk menambahkan konten video Vimeo untuk deskripsi produk.
Jika URL menunjuk ke gambar yang tidak valid (misalnya file PHP), aplikasi akan merespon dengan kesalahan. Namun, file akan tetap di-download, ungkap DefenseCode. Aplikasi ini menyimpan file untuk memvalidasi gambar, tetapi tidak akan menghapusnya jika validasi gagal.
Informasi file gambar diurai dan disimpan ke dalam direktori yang dapat menciptakan kondisi matang untuk RCE menggunakan script PHP. Untuk mencapai Remote Code Execution, dua file akan di download. Satu adalah file .htaccess yang memungkinkan eksekusi PHP di direktori download, dan lainnya akan menjalankan script PHP.
Skenario yang mungkin adalah mengeksploitasi celah ini termasuk dimana penyerang menargetkan admin panel user. Penyerang dapat menarik administrator untuk mengunjungi URL yang dapat memici serangan cross-site request. Jika sukses, file .htaccess dan script PHP keduanya akan menciptakan kondisi yang memungkinkan penyerang untuk mengeksekusi remote code pada Magento Community Edition.
Selanjutnya, penyerang dapat merumuskan beberapa strategi serangan yang dapat dengan cepat untuk mengeksekusi perintah sistem, berinteraksi dengan database, atau mengambil alih seluruh database bersama dengan nomor kartu kredit yang tersimpan dan informasi pembayaran lain, atau menginstall malware pada server.
DefenseCode merekomendasikan untuk menggunakan “Add Secret Key to URLs” didalam Magento yang dapat meringankan serangan CSRF.
Jakartawebhosting.com menyediakan layanan Joomla Hosting, dengan kecepatan dan stabilitas pusat data dan server yang baik, up time server 99,9%, team support yang siap membantu 24 jam dan biaya langganan yang menarik.