Magento ออกเเพตซ์เเก้ไขช่องโหว่ Code Execution ใน Magento Commerce และ Magento Open Source

Adobe ได้ทำการเปิดตัวเเพตซ์อัปเดตความปลอดภัยเพื่อเเก้ไขช่องโหว่ Code Execution ที่มีผลกระทบต่อ Adobe Magento Commerce และ Adobe Magento Open Source โดยรายละเอียดช่องโหว่ที่ได้รับเเก้ไขมีดังนี้

ช่องโหว่ CVE-2020-9689 เป็นช่องโหว่ Path Traversal ช่องโหว่จะช่วยให้ผู้โจมตีที่มีสิทธิ์ของผู้ดูแลระบบสามารถทำการเรียกใช้โค้ดได้โดยไม่รับอนุญาต
ช่องโหว่ CVE-2020-9691 เป็นช่องโหว่ DOM-based Cross-Site Scripting (XSS) ช่องโหว่จะช่วยให้ผู้โจมตีที่ไม่ได้รับการตรวจสอบสิทธ์สามารถรันโค้ดได้โดยไม่รับอนุญาตบนเครื่องที่ยังไม่ได้รับการเเพตซ์ช่องโหว่
ช่องโหว่ CVE-2020-9690 เป็นช่องโหว่ Observable Timing Discrepancy ช่องโหว่จะทำให้ผู้โจมตีที่มีสิทธิ์ระดับผู้ดูแลระบบสามารถ Bypass การตรวจสอบ Signature ได้

ช่องโหว่มีผลกระทบกับ Magento Commerce รุ่นก่อนหน้าเวอร์ชัน 2.3.5-p1 และ Magento Open Source รุ่นก่อนหน้าเวอร์ชัน 2.3.5-p1

Adobe กล่าวว่าสำหรับผู้ใช้งานที่ทำการติดตั้ง Magento Commerce และ Magento Open Source รุ่นที่มีช่องโหว่จะได้รับการเเนะนำให้ทำการติดตั้งเป็นเวอร์ชันใหม่ล่าสุด (2.4.0) หรือผู้ใช้สามารถอัปเกรดการติดตั้งเป็น Magento Commerce 2.3.5-p2 หรือ Magento Open Source 2.3.5-p2 นอกจากนี้ Adobe ได้เเนะนำให้ผู้ใช้ควรรีบทำการอัปเดตเเพตซ์การเเก้ไขช่องโหว่ให้เร็วที่สุดเพื่อปิดช่องทางการใช้ประโยชน์จากช่องโหว่ของผู้โจมตี

ที่มา: bleepingcomputer.

Adobe เพิ่มระบบ 2FA ในผลิตภัณฑ์ Magento เพื่อป้องกันการโจมตี Card Skimming Attack

Adobe ได้ประกาศเพิ่มการรับรองการใช้ Two-factor authentication (2FA) ในผลิตภัณฑ์ Magento เพื่อตอบสนองต่อการโจมตีที่มีจำนวนมากขึ้น ซึ่งการใช้ 2FA จะช่วยป้องกันผู้โจมตีที่พยายามทำการเข้าสู่ระบบโดยไม่ได้รับอนุญาต

ทีม Security Operation ของ Adobe ได้เปิดเผยว่าการโจมตีกว่า 75% ในผลิตภัณฑ์ Magento นั้นเกิดขึ้นในลักษณะ Web Skimming (หรือที่รู้จักคือ Magecart หรือ e-skimming) โดยหลังจากการบุกรุกแล้ว ผู้โจมตีจะพยายามใช้สคริปต์ในการลักลอบบันทึกข้อมูลบัตรเครดิตและการทำธุรกรรมบนเว็บไซต์ซึ่งใช้ Magento เพื่อพยายามขโมยข้อมูลการใช้บัตรเครดิตของลูกค้าซึ่งเมื่อเร็วๆ นี้บริษัท Sansec ได้เปิดเผยถึงโจมตีรูปแบบนี้ผ่านกลุ่มแฮกเกอร์สัญชาติเกาหลีเหนือ Lazarus หรือ Hidden Cobra ที่ได้ทำการขโมยข้อมูลการชำระเงินของลูกค้าผ่านทางเว็บไซต์ Magento

ทีม Security Operation ของ Adobe ยังกล่าวอีกว่าการใช้งาน 2FA ก่อนเข้าสู่ระบบพอร์ทัลของผู้ดูแลระบบ Magento จะช่วยตรวจสอบความถูกต้องและลดการโจมตี ซึ่งจะช่วยป้องกันผู้ที่ทำการบุกรกไม่ให้เข้าถึงพอร์ทัลของผู้ดูแลระบบด้วยบัญชีที่ถูกบุกรุก สำหรับส่วนขยายการใช้งาน 2FA นั้นจะติดตั้งเป็น Core Bundled Extension (CBE) โดยอัตโนมัติเมื่อติดตั้งหรืออัพเกรดเป็น Magento Open Source หรือ Commerce 2.4.X

ทั้งนี้ผู้ดูแลระบบหรือผู้ดูแลเว็บไซต์ควรทำการอัพเกรดระบบเพื่อใช้งาน 2FA ในป้องกันผู้ประสงค์ร้ายเข้าถึงระบบของผู้ดูแลระบบ

ที่มา: bleepingcomputer

Adobe เเก้ไขช่องโหว่ระดับ ‘Critical’ ใน Illustrator, Bridge และ Magento

Adobe ได้เผยแพร่แพตช์ปรับปรุงความปลอดภัยสำหรับ Adobe Illustrator, Bridge และ Magento ซึ่งทำการแก้ไขช่องโหว่จำนวน 35 รายการ โดยมี 25 รายการเป็นช่องโหว่ที่มีความรุนเเรงระดับ ‘Critical’ หากผู้โจมใช้ประโยชน์จากช่องโหว่ดังกล่าวอาจนำไปสู่การดำเนินการเรียกใช้โค้ดโดยไม่ได้รับอนุญาต, การเปิดเผยข้อมูลที่มีความสำคัญ และอาจทำให้เกิดการเรียกใช้โค้ดโจมตีจากระยะไกลได้

Adobe Illustrator แก้ไขช่องโหว่ระดับ ‘Critical’ จำนวน 5 รายการพบเป็นช่องโหว่ Memory Corruption ที่สามารถเรียกใช้โค้ดโดยไม่ได้รับอนุญาตถูกติดตามเป็น CVE-2020-9570, CVE-2020-9571, CVE-2020-9572, CVE-2020-9573, CVE-2020-9574
Adobe Bridge เเก้ไขช่องโหว่ 17 รายการโดยเเบ่งเป็นระดับ ‘Critical’ จำนวน 14 รายการโดยช่องโหว่มีผลกระทบทำให้ผู้โจมตีสามารถเรียกใช้โค้ดโดยไม่ได้รับอนุญาตและช่องโหว่ระดับ ’Important’ 3 รายการโดยช่องโหว่มีผลกระทบทำให้ผู้โจมตีสามารถเรียกดูข้อมูลที่มีความสำคัญได้
Magento CMS เเก้ไขช่องโหว่ 13 รายการโดยเเบ่งเป็นระดับ ‘Critical’ จำนวน 6 รายการและช่องโหว่ระดับ ’Important’ 4 รายการและระดับ ‘Moderate’ จำนวน 3 รายการช่องโหว่เหล่านี้มีความเสี่ยงต่อการเรียกใช้โค้ดโดยไม่ได้รับอนุญาต, การเปิดเผยข้อมูลที่สำคัญและการเข้าถึง Admin Panel โดยไม่ได้รับอนุญาต

ข้อเเนะนำ ผู้ใช้งาน Adobe Illustrato 2020 เวอร์ชั่น 24.0.2 และรุ่นก่อนหน้า ผู้ใช้งานเวอร์ชั่น Windows ผู้ใช้งานควรทำการอัพเดตเเพตซ์เป็น Adobe Illustrato 2020 เวอร์ชั่น 24.1.2
ผู้ใช้งาน Adobe Bridge เวอร์ชั่น 10.0.1 และรุ่นก่อนหน้า ผู้ใช้งานควรทำการอัพเดตเเพตซ์เป็น Adobe Bridge เวอร์ชั่น 10.0.4
ผู้ใช้งาน Magento Commerce เวอร์ชั่น 2.3.4 และรุ่นก่อนหน้า, Magento Open Source เวอร์ชั่น 2.3.4 และรุ่นก่อนหน้า, Magento Enterprise Edition เวอร์ชั่น 1.14.4.4 และรุ่นก่อนหน้าและ Magento Community Edition เวอร์ชั่น 1.9.4.4 และรุ่นก่อนหน้า ผู้ใช้งาน Magento CMS ควรทำการติดตั้งและอัพเดตให้เป็นเวอร์ชั่นล่าสุดเพื่อแก้ไขช่องโหว่เหล่านี้

ที่มา:
bleepingcomputer.

FBI ออกคำเตือนเกี่ยวกับการโจมตีด้วย e-skimming (Magecart)

 

สำนักงานสืบสวนกลางแห่งสหรัฐอเมริกาออกคำเตือนสำหรับภาคเอกชนของสหรัฐเกี่ยวกับการโจมตีแบบ e-skimming หรือที่รู้จักกันในชื่อ web skimming หรือ Magecart attacks.

The KimcilWare Ransomware targets Magento Platforms

ผู้เชี่ยวชาญด้านความปลอดภัยจาก MalwareHunterTeam พบมัลแวร์เข้ารหัสไฟล์เรียกค่าไถ่สายพันธุ์ใหม่ชื่อ “KimcilWare ransomeware” ถูกออกแบบมาโจมตีเว็บเซิฟเวอร์ที่ติดตั้ง Magento โดยเฉพาะ จากรายงานระบุว่าพบ KimcilWare ครั้งแรกบนเว็บไซต์ที่ใช้ Magento ซึ่งในขณะนี้ยังไม่ทราบว่า Magento ถูกแฮกด้วยวิธีใด จึงโดนโจมตีด้วย ransomware ดังกล่าวได้ ผลกระทบของ KimcilWare เหมือนกับ ransomware อื่นๆ คือจะมีการเข้ารหัสไฟล์ของ Magento ในเว็บเซิฟเวอร์ไปเป็นนามสกุลไฟล์ .kimcilware และจะสร้างไฟล์ index.

Magento plugs XSS holes that can lead to e-store hijacking, patch immediately!

เมื่อสัปดาห์ที่ผ่านมา นักวิจัยด้านความปลอดภัยจาก Sucuri Security เปิดเผยว่าพบช่องโหว่ Stored XSS บน Magento ที่เป็น CMS ออกแบบมาเพื่อทำ e-commerce หรือสำหรับขายสินค้าออนไลน์ ซึ่งส่งผลให้แฮกเกอร์สามารถเข้าควบคุมเว็บไซต์ทีติดตั้ง Magento ได้เพียงแค่ผู้ใช้งานที่มีบัญชีของ Magento ใส่โค้ด Javascript ที่อันตรายในช่อง email address ในหน้าตั้งค่าบัญชี โดยที่ระบบของ Magneto ไม่มีการกรองอักขระที่เป็นอันตราย ทำให้โค้ดของ Javascript สามารถรันในหน้าแอดมินได้ อย่างไรก็ตามช่องโหว่ Stored XSS มีผลกระทบโดยตรงกับ Magento CE เวอร์ชั่นต่ำกว่า 1.9.2.3 และ Magento EE เวอร์ชั่นต่ำกว่า 1.14.2.3 นอกจากนี้ยังมีการพบช่องโหว่ Stored XSS ในช่องคอมเมนต์ที่สามารถใส่โค้ด Javascript ไปบันทึกในฐานข้อมูลได้ ส่งผลกระทบกับ Magento CE เวอร์ชั่น 2 และ Magento EE เวอร์ชั่นตำกว่า 2.0.1 แนะนำให้ควรอัพเกรด Magento ไปเป็นเวอร์ชั่นล่าสุดโดยทันที

ที่มา : net-security, SUCURIBlog

Blackhats using mystery Magento card stealers

นักวิจัยด้านความปลอดภัย Sucuri infosec ได้ค้นพบช่องโหว่ Zero - Day บน Magento ส่งผลกระทบทำให้แฮกเกอร์สามารถเข้ามาขโมยข้อมูลบัตรเครดิตของลูกค้าที่ใช้บริการกับพวกร้านค้าออนไลน์ได้ (ซึ่งก่อนหน้านี้ ในช่วงเดือนเมษายนได้มีข่าว พบช่องโหว่ Remote Code Execution (RCE) ซึ่งเป็นช่องโหว่ที่สำคัญ และมีผลกระทบต่อร้านค้าออนไลน์จำนวนมาก)

จากข่าวรายงานว่า แฮกเกอร์มีการใช้สคริปทำการโจมตี เมื่อมีการร้องขอเข้ามาที่เว็บเซิฟร์เวอร์ด้วย Method POST หลังจากนั้นแฮกเกอร์สามารถเข้าถึงข้อมูลการชำระเงิน ก่อนที่จะมีการเก็บข้อมูลให้เป็นไฟล์ภาพที่มีการเข้ารหัสไว้ จึงทำให้แฮกเกอร์สามารถได้ข้อมูลที่สำคัญทางการเงินได้

ที่มา : theregister

Critical Vulnerability Found in Magento eCommerce Platform

Magento มีช่องโหว่ Remote Code Execution (RCE) ซึ่งเป็นช่องโหว่ที่สำคัญ และมีผลกระทบต่อร้านค้าออนไลน์จำนวนมาก ถ้ามีการใช้ประโยชน์จากช่องโหว่นี้อาจทำให้แฮกเกอร์สามารถโจมตีร้านค้าออนไลน์ที่ใช้ Magento ได้ รวมถึงสามารถเข้าถึงข้อมูลบัตรเครดิต และข้อมูลการเงินอื่นๆ ของลูกค้า