Magento ออก Patch 2.0.6 อุดช่องโหว่ความรุนแรงระดับสูง เตือนผู้ใช้งานทำการ Patch โดยด่วน

magento-patches

Magento ออก Patch อุดช่องโหว่ระดับ Critical ที่ทำให้แฮ็คเกอร์สามารถทำการ Execute โค้ด PHP บน Server ปลายทางผ่าน API ได้โดยที่ไม่จำเป็นต้องทำการยืนยันตัวตน (Remote Code Execution) โดยช่องโหว่นี้มีความรุนแรงระดับ 9.8 เต็ม 10

ช่องโหว่นี้มีรหัส CVE-2016-4010 รุ่นที่ได้รับผลกระทบคือ Magento CE และ EE เวอร์ชันก่อน 2.0.6 ซึ่งจะทำให้แฮ็คเกอร์สามารถทำการโจมตีผ่าน REST หรือ SOAP API ได้ เนื่องจาก API ทั้ง 2 ช่องทางนี้จะถูกเปิดใช้งานโดย Default อยู่แล้ว โดย Netanel Rubin ซึ่งเป็นนักวิจัยด้านความปลอดภัยได้เขียนอธิบายเชิงเทคนิคไว้ใน Blog Post ว่าช่องโหว่นี้เกิดขึ้นจากการใช้งาน ‘webapi.xml’ ที่เป็นส่วนหนึ่ง Module สำหรับการเชื่อมต่อ Front-end และ Back-end ของระบบนั่นเอง สำหรับหนทางแก้ไขคือ ผู้ดูแลระบบควรทำการ Patch Magento 2.0.6 โดยด่วน

ที่มา : http://www.scmagazine.com/magento-flaw-allowed-hackers-to-execute-code-using-apis/article/497165/



About เด็กฝึกงาน TechTalkThai หมายเลข 1

นักเขียนมือใหม่ผู้หลงใหลใน Enterprise IT และซูชิ

Check Also

GSK ใช้ Analytic Platform หวังลดเวลาการวิจัยและพัฒนายาเหลือเพียง 2 ปี

GlaxoSmithKline (GSK) บริษัทยายักษ์ใหญ่จากอังกฤษ นำ Analytic Platform เข้ามาช่วยลดระยะเวลาในการวิจัยและพัฒนายาใหม่จาก 8 ปี เหลือเพียง 2 ปี

เตือน Z-wave Downgrade Attack อุปกรณ์ IoT กว่า 100 ล้านชิ้นเสี่ยงถูกแฮ็ก

นักวิจัยด้านความมั่นคงปลอดภัยจาก Pen Test Partners ค้นพบวิธีการโจมตีแบบ Downgrade Attack บนอุปกรณ์ IoT ที่ใช้โปรโตคอล Z-wave ซึ่งช่วยให้แฮ็กเกอร์สามารถเข้าถึงอุปกรณ์ได้โดยไม่ได้รับอนุญาตแม้ว่าจะใช้กลไกการเข้ารหัสข้อมูลก็ตาม อุปกรณ์ IoT กว่าร้อยล้านชิ้นจากหลายพันยี่ห้อตกอยู่ในความเสี่ยง