آسیب‌پذیری تحت عنوان CosmicSting که بر وب‌سایت‌های Adobe Commerce و Magento تأثیر می‌گذارد، نه روز پس از در دسترس قرار گرفتن به‌روزرسانی امنیتی، تا حد زیادی اصلاح نشده باقی می‌ماند و میلیون‌ها سایت را در معرض حملات فاجعه‌بار قرار می‌دهد.
طبق آمار Sansec، تقریباً از هر چهار وب‌سایت که از پلت‌فرم‌های تجارت الکترونیکی استفاده می‌کنند، سه وب‌سایت در برابر CosmicSting پچ نشده اند ، که آنها را در معرض خطر آسیب پذیری XML و RCE قرار می دهد.
بر اساس گفته های Sansec : آسیب پذیری CosmicSting که با CVE-2024-34102 شناخته می شود بدترین باگی است که طی دو سال اخیر برای فروشگاه‌های Magento و Adobe Commerce به وجود آمده است.
این آسیب پذیری ، به هر کسی اجازه می‌دهد فایل‌های خصوصی را بخواند (مانند آنهایی که پسورد دارند). با این حال، همراه با اشکال اخیر iconv در لینوکس، به یک معضل امنیتی اجرای کد از راه دور تبدیل می شود.
این نقص، با رتبه بندی بحرانی ( CVSS: 9.8 ) ، بر نسخه های محصولات زیر تأثیر می گذارد:
- Adobe Commerce 2.4.7 و نسخه های قبلی مانند ۴٫۶-p5, 2.4.5-p7, 2.4.4-p8
- Adobe Commerce Extended Support 2.4.3-ext-7 و قبل از آن ، ext-7-2.4.2 و ext-7-2.4.1 و ext-7-2.4.0 و p4-ext-7.2.3.7
- Magento Open Source 2.4.7 و نسخه های قبلی از جمله ۴٫۶-p5, 2.4.5-p7, 2.4.4-p8
- پلاگین Adobe Commerce Webhooks نسخه ۱٫۲٫۰ تا ۱٫۴٫۰
Sansec می‌گوید که علیرغم حذف جزئیات فنی در بولتن خود برای جلوگیری از افزایش بهره‌برداری فعال، روش‌های حمله موثر را می‌توان به راحتی از patch code که تحلیگران امنیتی برای کاهش حمله استفاده می کنند، استنباط کرد.
بر اساس شدت تاثیرات و پیچیدگی کم این آسیب پذیری Sansec تخمین می‌زند که CosmicSting در کنار “Shoplift“, “Ambionics” و “Trojan Order” به یکی از مخرب‌ترین حملات در تاریخ تجارت الکترونیک تبدیل می‌شود.
پچ مورد نظر را نصب کنید.
فروشنده پچ امنیتی را برای CVE-2024-34102 با نسخه های زیر منتشر کرد که به مدیران پلت فرم تجارت الکترونیک توصیه می شود در اسرع وقت اعمال کنند:
- Adobe Commerce 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9
- Adobe Commerce Extended Support 2.4.3-ext-8, 2.4.2-ext-8, 2.4.1-ext-8, 2.4.0-ext-8, 2.3.7-p4-ext-8
- Magento Open Source 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9
- Adobe Commerce Webhooks Plugin version 1.5.0
Sansec توصیه می‌کند که مدیران سایت قبل از ارتقا به حالت « Report-Only» تغییر وضعیت دهند تا از مشکلی که ممکن است عملکرد پرداخت را خراب کند، جلوگیری شود.
برای کسانی که در حال حاضر قادر به ارتقاء نیستند، به آنها توصیه می شود دو اقدام زیر را انجام دهند:
ابتدا، بررسی کنید که آیا سیستم لینوکس از کتابخانه glibc آسیب‌پذیر برای CVE-2024-2961 با استفاده از دستور زیر استفاده می‌کند یا خیر، و در صورت نیاز آن را ارتقا دهید. دستور زیر یک فایل سورس کد C را دانلود می کند، آن را کامپایل می کند و روی سیستم شما اجرا می کند تا آسیب پذیری شما را تشخیص دهد.
curl -sO https://sansec.io/downloads/cve-2024-2961.c && gcc cve-2024-2961.c -o poc && ./poc
در مرحله بعد، باید کد «رفع اضطراری» زیر را در app/bootstrap.php اضافه کنید تا بیشتر حملات CosmicSting را مسدود کند.
if (strpos(file_get_contents('php://input'), 'dataIsURL') !== false) {
header('HTTP/1.1 503 Service Temporarily Unavailable');
header('Status: 503 Service Temporarily Unavailable');
exit;
}
نکته مهم : این راه حل آزمایش نشده و کارایی یا ایمنی این دستورات تایید نمی شود.
