Vulnerabilitatea CosmicSting (CVE-2024-34102) a fost recent descoperită, afectând platformele Adobe Commerce și Magento. Acastă vulnerabilitate critică permite atacatorilor să compromită între 3 și 5 site-uri pe oră, ceea ce reprezintă un pericol semnificativ pentru proprietarii de magazine online.
TLDR
- CosmicSting este o vulnerabilitate critică (nota 9.8 CVSS)
- Afectează Adobe Commerce și Magento
- Permite citirea fișierelor sensibile de pe server
- Potențial de furt de date ale clienților
- Recomandarea principală: actualizați la ultima versiune (2.4.7-p2) sau aplicați patch-urile oferite
Vulnerabilitatea CosmicSting
Vulnerabilitatea a fost evaluată cu un scor critic pe sistemul CVSS, având capacitatea de a permite atacatorilor să citească orice fișier de pe serverul țintă, inclusiv date sensibile precum parole sau chei de criptare. Această breșă le permite atacatorilor să modifice blocuri CMS prin Magento API și să injecteze cod JavaScript dăunător, ceea ce poate duce la furtul de date ale clienților.
Exploatarea activă
CosmicSting afectează versiunile Adobe Commerce și Magento 2.4.7 și anterioare. Atacatorii pot fura cheia secretă de criptare din fișierul app/etc/env.php. Cu această cheie, pot genera un JSON Web Token (JWT) care le oferă acces neîngrădit la API-ul Magento, care poate fi folosit pentru a injecta scripturi malițioase.
Impact și recomandări
Deși Adobe a lansat un remediu inițial în iunie 2024, mulți administratori de magazine nu și-au actualizat platformele, continuând să fie vulnerabili. Experții sfătuiesc proprietarii de magazine online să actualizeze imediat la cea mai recentă versiune și să genereze noi chei de criptare dacă cele vechi au fost compromise.
Protejarea împotriva unor vulnerabilități similare
Este esențial pentru proprietarii platformelor online să rămână vigilenți la actualizările de securitate și să implementeze patch-urile disponibile cât mai repede posibil. În plus, trebuie să gestioneze în mod regulat cheile criptografice și să asigure revocarea celor vechi pentru a preveni abuzurile.
Sursa articolului:
https://cybersecuritynews.com/3-to-5-websites-hacked-per-hour/
Pe Threat Spotting apar articole identificate de specialiști în securitate cibernetică și simplificate prin inteligență artificială (AI). De aceea, e bine să consultați sursele oficiale întrucât tehnologiile AI curente pot genera informații incomplete sau parțial adevărate. Citește mai multe despre proiect aici.
