Breaking News

Magento ออก Patch 2.0.6 อุดช่องโหว่ความรุนแรงระดับสูง เตือนผู้ใช้งานทำการ Patch โดยด่วน

magento-patches

Magento ออก Patch อุดช่องโหว่ระดับ Critical ที่ทำให้แฮ็คเกอร์สามารถทำการ Execute โค้ด PHP บน Server ปลายทางผ่าน API ได้โดยที่ไม่จำเป็นต้องทำการยืนยันตัวตน (Remote Code Execution) โดยช่องโหว่นี้มีความรุนแรงระดับ 9.8 เต็ม 10

ช่องโหว่นี้มีรหัส CVE-2016-4010 รุ่นที่ได้รับผลกระทบคือ Magento CE และ EE เวอร์ชันก่อน 2.0.6 ซึ่งจะทำให้แฮ็คเกอร์สามารถทำการโจมตีผ่าน REST หรือ SOAP API ได้ เนื่องจาก API ทั้ง 2 ช่องทางนี้จะถูกเปิดใช้งานโดย Default อยู่แล้ว โดย Netanel Rubin ซึ่งเป็นนักวิจัยด้านความปลอดภัยได้เขียนอธิบายเชิงเทคนิคไว้ใน Blog Post ว่าช่องโหว่นี้เกิดขึ้นจากการใช้งาน ‘webapi.xml’ ที่เป็นส่วนหนึ่ง Module สำหรับการเชื่อมต่อ Front-end และ Back-end ของระบบนั่นเอง สำหรับหนทางแก้ไขคือ ผู้ดูแลระบบควรทำการ Patch Magento 2.0.6 โดยด่วน

ที่มา : http://www.scmagazine.com/magento-flaw-allowed-hackers-to-execute-code-using-apis/article/497165/


About เด็กฝึกงาน TechTalkThai หมายเลข 1

นักเขียนมือใหม่ผู้หลงใหลใน Enterprise IT และซูชิ

Check Also

[CYBERSEC 2019] Fortinet แนะวิธีนำ OODA Loop มาปรับใช้ใน Cybersecurity

ภายใน CYBERSEC 2019 Presented by iThome ที่กำลังจัดขึ้น ณ เมืองไทเป ประเทศไต้หวันในขณะนี้ Fortinet ได้ออกมาเปิดเผยถึงวิธีการนำ OODA Loop มาปรับใช้กับมาตรการรักษาความมั่นคงปลอดภัยไซเบอร์เพื่อรับมือกับภัยคุกคามทั้งแบบ …

Bitdefender ผสานเทคโนโลยีกับ Nutanix และ Citrix ปกป้องระบบ HCI และ Virtualization แบบไร้รอยต่อ

Bitdefender ผู้นำด้าน Endpoint Security ที่มีผู้ใช้งานมากกว่า 500 ล้านเครื่องใน 150 ประเทศทั่วโลก จับมือกับ Nutanix และ Citrix ผสานรวมเทคโนโลยี GravityZone …