พบช่องโหว่ XSS บน Magento เว็บค้าออนไลน์เสี่ยงถูกไฮแจ็ค

สัปดาห์ที่ผ่านมา Magento ได้ออกแพทช์ชุดใหญ่สำหรับอุดช่องโหว่แพลทฟอร์ม E-commerce ของตน ซึ่งหนึ่งในนั้นเป็นช่องโหว่ Cross-site Scripting (XSS) ความรุนแรงสูงที่ช่วยให้แฮ็คเกอร์สามารถโจมตีเพื่อเข้าควบคุมเว็บไซต์ได้ แนะนำให้ผู้ดูแลระบบรีบอุดช่องโหว่โดยเร็ว

ช่องโหว่ XSS นี้เกิดจากการตรวจสอบ Input จากผู้ใช้งานไม่ดีพอ ส่งผลให้แฮ็คเกอร์สามารถแทรกโค้ด JavaScript ลงไปในช่องใส่อีเมลบนหน้าสมัครลงทะเบียนของลูกค้าได้ จากการตรวจสอบพบว่าเป็นบั๊คบน Library หลักของ Magento ในส่วน Backend ของผู้ดูแลระบบ ส่งผลให้ JavaScript ดังกล่าวจะถูก Execute ด้วยสิทธิ์ของ Admin ในส่วนของ Backend ซึ่งเสี่ยงต่อการถูกไฮแจ็คเว็บไซต์ทั้งหมดได้

เวอร์ชันที่ได้รับผลกระทบประกอบด้วย Magent CE เวอร์ชันก่อน 1.9.2.3 และ Magento EE เวอร์ชันก่อน 1.14.2.3 ซึ่งแนะนำให้ผู้ดูแลระบบรีบอัพเดทแพทช์โดยเร็ว เนื่องจากการป้องกันช่องโหว่นี้ด้วยตนเองทำได้ค่อนข้างยาก เว้นแต่จะมี Web Application Firewall เข้ามาช่วย

นอกจากช่องโหว่ XSS ที่ช่วยให้แฮ็คเกอร์เข้าควบคุมเว็บไซต์ได้แล้ว ยังมีอีกช่องโหว่ XSS หนึ่งที่เกิดจากการตรวจสอบช่อง Comment ไม่ดีพอ ส่งผลให้สามารถแทรกโค้ด JavaScript เข้ามายังฐานข้อมูลได้ เมื่อ Admin เรียกดูข้อมูลดังกล่าว โค้ด JavaScript ก็จะถูกรันที่ฝั่งเซิฟเวอร์ทันที ช่องโหว่นี้ส่งผลกระทบต่อ Magento ทุกเวอร์ชันที่ได้กล่าวไปก่อนหน้านี้ รวมถึง Magento 2 CE และ EE เวอร์ชันก่อน 2.0.1

ที่มา: http://www.net-security.org/secworld.php?id=19365


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Efficiency: การใช้ Pure Storage มีประสิทธิภาพและคุ้มค่าเหนือกว่าการใช้ Enterprise Storage อื่นอย่างไร

เพราะระบบ Enterprise Storage มักเป็นระบบที่สำคัญต่อธุรกิจองค์กร การลงทุนในระบบเหล่านี้แต่ละครั้งจึงต้องคำนึงถึงประเด็นด้านประสิทธิภาพและความคุ้มค่ามากเป็นพิเศษ เพื่อให้ระบบดังกล่าวสามารถรองรับการใช้งานของธุรกิจได้อย่างต่อเนื่องยาวนาน และคุ้มค่าสูงที่สุด Pure Storage ในฐานะของผู้นำด้านเทคโนโลยี All Flash Array พร้อมตอบโจทย์ดังกล่าวให้กับธุรกิจองค์กร ด้วย …

Dynatrace Webinar: Enabling DevOps/SRE to Build Better Quality Software with Dynatrace

DPM (Thailand) ร่วมกับ Dynatrace ขอเรียนเชิญ Developers, DevOps Engineer และ SRE เข้าร่วมงานสัมมนาออนไลน์เรื่อง "Enabling DevOps/SRE to Build Better Quality Software with Dynatrace" เพื่อเรียนรู้ว่า Dynatrace Cloud Automation จะช่วยแก้ปัญหาและเพิ่มความเร็วและเสถียรภาพของ DevOps ได้อย่างไร ในวันพฤหัสบดีที่ 25 สิงหาคม 2022 เวลา 14:00 น. ผ่านทาง Live Webinar ฟรี