Bilgisayar korsanları, Prestashop platformunu kullanarak web sitelerini hedefliyor ve kod yürütme yapmak ve potansiyel olarak müşterilerin ödeme bilgilerini çalmak için daha önce bilinmeyen bir güvenlik açığı zincirinden yararlanıyor.
Prestashop ekibi, geçen Cuma günü acil bir uyarı yayınladı ve platformu hedefleyen siber saldırılar keşfedildikten sonra güvenlik duruşlarını gözden geçirmeye yazılımını kullanarak 300.000 mağazanın yöneticilerini çağırdı.
Saldırı, Prestashop sürümlerini 1.6.0.10 veya sonraki sürümleri ve 1.7.8.2 veya daha sonraki sürümleri etkiliyor gibi görünüyor.
Aktif olarak sömürülen güvenlik açığı, CVE-2022-36408 tanımlayıcısı ile izlenir.
Saldırı, SQL enjeksiyon istismarlarına karşı savunmasız bir modülü veya eski bir platform versiyonunu hedefleyerek başlar. Prestashop'un ekibi şu anda bu kusurların nerede var olduğunu belirlemedi ve uzlaşmanın üçüncü taraf bir bileşenden de kaynaklanabileceği konusunda uyardı.
Prestashop Güvenlik Danışmanlığı, "Saldırganların eski yazılım veya modüller, savunmasız üçüncü taraf modülleri veya henüz keşfedilmemiş bir güvenlik açığı kullanarak mağazaları hedeflediğine inanıyoruz."
Saldırıyı yürütmek için, bilgisayar korsanları, savunmasız bir uç noktaya bir sonrası isteği ve ardından ana dizinde "BLM.php" dosyası oluşturan ana sayfaya parametresiz bir GET isteği gönderir.
BLM.PHP dosyası, tehdit aktörlerinin sunucudaki komutları uzaktan yürütmesine izin veren bir web kabuğu gibi görünüyor.
Gözlenen birçok durumda, saldırganlar bu web kabuğunu mağazanın ödeme sayfasında sahte bir ödeme formu enjekte etmek ve müşterilerin ödeme kartı bilgilerini çalmak için kullandılar.
Saldırıdan sonra, uzaktan tehdit aktörleri, site sahibinin ihlal edildiğini fark etmelerini önlemek için izlerini sildi.
Saldırganlar kanıtların temizlenmesiyle gayretli değilse, tehlikeye atılan site yöneticileri, tehlikeye atıldıkları işaretler için web sunucusunun erişim günlüklerinde girişler bulabilirler.
Diğer uzlaşma belirtileri arasında kötü amaçlı kod eklemek için dosya değişiklikleri ve saldırı zincirinin bir parçası olarak hizmet veren MySQL Smarty önbellek depolama alanının etkinleştirilmesi yer alır.
Bu özellik varsayılan olarak devre dışı bırakılır, ancak Prestashop, bilgisayar korsanlarının bağımsız olarak sağladığına dair kanıtlar görmüştür, bu nedenle tavsiye gerekmezse onu kaldırmaktır.
Bunu yapmak için mağazanızdaki "config/smarty.config.inc.php" dosyasını bulun ve aşağıdaki satırları silin:
Son olarak, kullanılan tüm modülleri en son kullanılabilir sürüme yükseltin ve bugün yayınlanan Prestashop Güvenlik Güncellemesini uygulayın, sürüm 1.7.8.7.
Bu güvenlik düzeltmesi, eski özelliği kullanmaya devam etmek isteyenler için tüm kod enjeksiyon saldırılarına karşı MySQL Smarty önbellek depolamasını güçlendirir.
Ancak, siteniz zaten tehlikeye atılmışsa, güvenlik güncellemesinin uygulanmasının sorunu düzeltmeyeceğini belirtmek önemlidir.
Sonicwall: Yama kritik SQL enjeksiyon hatası hemen
Saldırganlar, savunmasız eklenti için 1.6 milyon WordPress sitesini tarar
Django yeni sürümlerde SQL enjeksiyon güvenlik açığını düzeltir
Hackerlar, açıklamadan sonraki 15 dakika içinde güvenlik açıkları için tarama
Hacker, 5.4 milyon kullanıcıdan oluşan Twitter hesap verilerini 30 bin dolara satıyor
Kaynak: Bleeping Computer