Kritik Magento nol-kunli zaifligi to‘liq yamalaridan qochib o‘tdi: Har bir do‘kon egasi hozir bilishi kerak bo‘lgan narsa
markdown formatidagi blog kontenti
"Yamoq va Duo" haqiqatining yoqimsiz tabiati
Siz hamma narsani to‘g‘ri qildingiz. Har bir xavfsizlik yangilanishini chiqishi bilan darhol qo‘lladingiz. Tizimlaringizni muntazam kuzatib bordingiz. Shunga qaramay, hujumchilar tizimga kirib oldi.
Bu hozirda Magento va Adobe Commerce platformalarini faol ekspluatatsiya qilayotgan muhim zero-day zaifligi natijasida oshkor bo‘layotgan noqulay haqiqatdir. Xavfsizlik tadqiqotchilari ushbu kampaniyani "StyleSmuggler" deb atashdi va uning oqibatlari ushbu tizimlardan foydalanayotgan har bir elektron tijorat operatorini tashvishlantirishi kerak.
StyleSmugglerni boshqa hujumlardan farq qiluvchi narsa
Eski dasturiy ta’minot yoki noto‘g‘ri sozlangan konfiguratsiyalardan foydalanadigan odatiy ekspluatatsiyalardan farqli o‘laroq, StyleSmuggler hujum metodologiyasidagi xavfli evolyutsiyani namoyish etadi:
1. To‘liq yangilangan tizimlarga qarshi ishlaydi Birinchi tasdiqlangan qurbon barcha mavjud xavfsizlik yangilanishlarini o‘rnatgan edi. Bu dasturiy ta’minotni doimiy yangilab borish xavfsizlikni kafolatlaydi degan keng tarqalgan taxminni yo‘qqa chiqaradi. "Xavfsiz bo‘lish" endi xavfsizlikni kafolatlamasa, bizda fundamental muammo bor.
2. Autentifikatsiyasiz masofaviy kodni bajarish Hujumchilarga o‘g‘irlangan ma’lumotnomalar yoki ichki kirish huquqi kerak emas. Ular do‘koningizga maxsus yaratilgan so‘rovlarni yuborish orqali serveringizda ixtiyoriy kodni bajarishlari mumkin. Login oynasiga tegmasdan tizimning to‘liq egallanishi mumkin.
3. Zararli dastur ochiq joyda yashiringan Ushbu hujumlarda ishlatiladigan zararli kod veb-ildizdan tashqarida – ya’ni veb-sayt fayllari joylashgan katalogdan tashqarida joylashtiriladi. Fayl butunligini tekshiruvchi yoki aniq joylarda shubhali skriptlarni qidiruvchi standart xavfsizlik skanerlari uni butunlay o‘tkazib yuboradi. Bu uyga emas, balki butalar orasiga yashirib qo‘yilgan o‘g‘irlik asbobining raqamli ekvivalentidir.
Hujumchilar uslub parametrlaridan qanday foydalanadi
"StyleSmuggler" nomi zaiflikning mexanizmini anglatadi. Magento uslub parametrlarini shunday usullarda qayta ishlaydiki, ekspluatatsiya qilinganda hujumchilar kuzatuv tizimlari uchun oddiy ko‘rinadigan vektorlar orqali kodni kiritish va bajarish imkoniyatiga ega bo‘ladi. Asosan, hujumchi zararli ko‘rsatmalarni qonuniy uslub ma’lumotlari ko‘rinishidagi kanallar orqali o‘tkazadi.
Ushbu texnika ayniqsa xavfli, chunki u:
- Oddiy monitoring tizimlari uchun normal ko‘rinadigan trafik hosil qiladi
- Platforma ishonadigan funksiyalardan foydalanadi
- Keng tarqalgan xavfsizlik heuristikalarini qo‘zg‘atmaydi
Do‘koningizni himoya qilish uchun zudlik bilan qilinadigan amallar
Hozircha rasmiy yamoq