Clicky

Los sitios de Magento están siendo atacados por una falla de SQLi fácilmente explotable

Magento SQL

Un usuario no autenticado puede ejecutar código arbitrario a través de una vulnerabilidad de inyección de SQL

Los atacantes están explotando activamente una falla de inyección de SQL recientemente parcheada que afecta a la popular plataforma de comercio electrónico de código abierto Magento, por lo que si no has implementado la actualización de seguridad o el parche, ahora es el momento de hacerlo.

Más sobre Magento PRODSECBUG-2198

El defecto aún no tiene un número CVE, pero el equipo de seguridad de Magento lo identifica como PRODSECBUG-2198.

"Un usuario no autenticado puede ejecutar código arbitrario a través de una vulnerabilidad de inyección de SQL, lo que provoca una fuga de datos confidenciales", explicó el equipo.

El error afecta a Magento Open Source anterior a 1.9.4.1, Magento Commerce anterior a 1.14.4.1, Magento 2.1 anterior a 2.1.17, Magento 2.2 anterior a 2.2.8 y Magento 2.3 anterior a 2.3.1.

Se recomienda a los administradores de sitios basados en Magento que actualicen a Magento Open Source 1.9.4.1 o Magento Commerce 1.14.4.1 (si no, para implementar el paquete de parches SUPEE-11086), Magento 2.2.8 o Magento 2.3.1.

“Los clientes de la nube pueden actualizar ECE-Tools a la versión 2002.0.17 para corregir esta vulnerabilidad en la aplicación central parcheada automáticamente. El equipo de infraestructura agregó medidas para bloquear cualquier forma actualmente conocida de explotar la vulnerabilidad mediante la adición de reglas WAF adicionales, que se implementan en todo el mundo", señaló el equipo.

"Aunque hemos bloqueado formas conocidas de explotar la vulnerabilidad, recomendamos encarecidamente actualizar ECE-Tools o aplicar el parche a través de m2-hotfixes".

PRODSECBUG-2198 fue descubierto e informado por Charles Fol, un ingeniero de seguridad de Ambionics, y las actualizaciones de seguridad y los parches se lanzaron hace dos semanas (el 26 de marzo).

Los intentos de explotación aparentemente se han visto impulsados por la publicación de un exploit de PoC e información de vulnerabilidad adicional unos días después del lanzamiento de los parches. Pero también es posible que los aspirantes a atacantes realicen una ingeniería inversa del parche para crear un exploit operativo (al igual que Sucuri, para pruebas internas y monitoreo).

Aparte de esta falla, las actualizaciones de seguridad proporcionadas por Magento solucionaron otros 36 problemas, algunos de ellos críticos.

Jesus_Caceres