XDA智能手机网 - 第一智能手机评述媒体
手机评测您的位置:首页 >手机评测 >

黑客发布关于Magento关键缺陷的细节

发布时间:2019-03-31 14:19:47 来源:

在黑客公开发布利用其系统中的关键漏洞的代码之后,Magento电子商务平台很快就会面临一系列攻击,这些漏洞可用于在尚未更新的网站上植入支付卡撇取器。

PRODSECBUG-2198是攻击者无需身份验证即可利用的SQL注入漏洞的名称。

任何能够获取用户名并破解保护这些凭据的密码哈希的黑客理论上都可以利用该漏洞对管理员帐户进行管理控制。获得访问权限后,他们可以安装后门或他们选择的任何略读代码。

消费者如何保护自己免受在线欺诈?

网络钓鱼诈骗占所有欺诈攻击的一半

指向未来:预防欺诈的下一步

这种方法由安全公司Sucuri的研究人员进行了测试,他设法对最近发布的官方补丁进行逆向工程,以创建一个可行的概念验证漏洞。

过去六个月,网络犯罪分子的竞争团伙试图通过卡撇取恶意软件来感染电子商务网站,以窃取用户的付款细节。他们利用已知漏洞和零日漏洞来实现这一目标,Magento电子商务平台中的这种漏洞可能会被利用,因为有超过30万家企业和商家使用其服务。

Malwarebytes的主要恶意软件情报分析师JérômeSegura向Ars Technica解释了情况的严重性,他说:

“毫无疑问,威胁行为者要么主动扭转补丁,要么等待概念证据来大规模利用这一漏洞。当涉及到黑客攻击的Magento网站时,网络收集器是我们看到的最常见的感染类型,因为它们的投资回报率很高。因此,鉴于这一新发现的关键漏洞,我们可以期待另一波妥协。“

在发布概念验证代码时,代码中的注释显示它也可以被修改以从Magento的数据库获取其他信息,例如管理员和用户密码哈希。还发现该漏洞自其软件版本1以来就存在于Magento中。这意味着所有未安装最新更新的Magento站点都可能容易受到影响。

该公司的开发人员最近披露并修补了许多漏洞,包括PRODSECBUG-2198。此漏洞有一个独立的补丁,但由于其他漏洞也构成威胁,因此建议所有客户升级到Magento Commerce或Open Source 2.3.1或2.2.8。

热点推荐
随机文章