Depois da descoberta de uma falha crítica na plataforma OXID eShop torna-se imperativo atualizar a plataforma imediatamente de forma a impedir que o website seja comprometido em ataques bem sucedidos.
Investigadores descobriram um par de vulnerabilidades críticas na plataforma OXID eShop que podem permitir que atacantes, não autenticados, assumam total controle dos websites e-commerce vulneráveis remotamente em menos de alguns segundos.
OXID eShop é uma das principais soluções de software para lojas de comércio eletrónico na Alemanha, cuja edição corporativa está a ser utilizada por líderes do setor, incluindo Mercedes, BitBurger e Edeka.
Investigadores da RIPS Technologies GmbH partilharam as mais recentes descobertas com o The Hacker News. Foram, então, endereçadas duas vulnerabilidades críticas de segurança que afetam as versões recentes Enterprise, Professional e Community Editions do software OXID eShop.
A primeira vulnerabilidade, CVE-2019-13026, é uma vulnerabilidade de injeção SQL que permite que um atacante não autenticado crie uma nova conta de administrador, com uma palavra-passe à sua escolha, em um website executando qualquer versão vulnerável do software OXID eShop.
“An unauthenticated SQL injection can be exploited when viewing the details of a product. Since the underlying database makes use of the PDO database driver, stacked queries can be used to INSERT data into the database. In our exploit we abuse this to INSERT a new admin user,” researchers told The Hacker News.
Embora o sistema de base de dados PDO tenha sido projetado para impedir ataques de injeção de SQL utilizando por defeito prepared statements, ao utilizar comandos SQL de construção dinâmica poderia deixar as consultas em pilha com maior risco de serem contaminadas (mais detalhes aqui).
A segunda vulnerabilidade é uma falha de injeção num Objecto PHP, e que reside no painel de administração do software OXID eShop e ocorre quando a entrada fornecida pelo utilizador não é adequadamente limpa (sanitizada) antes de ser passada para a função PHP unserialize ().
Essa vulnerabilidade pode ser explorada para obter execução remota de código (RCE) no servidor; no entanto, requer acesso de administrador e que pode ser obtido utilizando a primeira vulnerabilidade (CVE-2019-13026).
“A second vulnerability can then be chained to gain remote code execution on the server. We have a fully working Python2.7 exploit which can compromise the OXID eShops directly which requires only the URL as an argument,” researchers told The Hacker News.
Utilizando esta chain de vulnerabilidade encadeadas, qualquer atacante pode tomar total controlo do website vulnerável apenas explorando a chain de vulnerabilidades de forma sequencial.
Uma vez bem-sucedidos, os atacantes podem executar remotamente código malicioso no servidor ou instalar plug-ins maliciosos para roubar cartões de crédito, informações de conta do PayPal e informações financeiras altamente confidenciais que passam pelo sistema eShop.
Os investigadores do RIPS reportaram as descobertas ao OXID eShops, e a empresa reconheceu o problema e resolveu as falhas com o lançamento do OXID eShop v6.0.5 e 6.1.4 para as três edições.
Parece que a empresa não corrigiu a segunda vulnerabilidade, simplesmente a mitigou, resolvendo o primeiro problema. No entanto, é preciso notar que ainda é possível explorar a segunda falha de RCE através de uma conta de administração.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.