Μια ευπάθεια που αποκαλύφθηκε πρόσφατα με την ονομασία «PolyShell» επηρεάζει όλες τις εγκαταστάσεις Magento Open Source και Adobe Commerce stable έκδοσης 2, επιτρέποντας την εκτέλεση κώδικα χωρίς έλεγχο ταυτότητας και την ανάληψη λογαριασμού.
Δεν υπάρχουν ενδείξεις ότι το ζήτημα χρησιμοποιείται ενεργά στη φύση, αλλά η εταιρεία ασφάλειας ηλεκτρονικού εμπορίου Sansec προειδοποιεί ότι “η μέθοδος εκμετάλλευσης κυκλοφορεί ήδη” και αναμένει ότι θα ξεκινήσουν σύντομα οι αυτοματοποιημένες επιθέσεις.
Η Adobe κυκλοφόρησε μια επιδιόρθωση, αλλά είναι διαθέσιμη μόνο στη δεύτερη έκδοση alpha για την έκδοση 2.4.9, αφήνοντας ευάλωτες τις εκδόσεις παραγωγής. Η Sansec λέει ότι η Adobe προσφέρει ένα “δείγμα διαμόρφωσης διακομιστή ιστού που θα περιόριζε σε μεγάλο βαθμό το αποτέλεσμα”, αλλά τα περισσότερα καταστήματα βασίζονται σε μια ρύθμιση από τον πάροχο φιλοξενίας τους.
Σε μια αναφορά αυτή την εβδομάδα, η Sansec λέει ότι το πρόβλημα ασφαλείας έχει τις ρίζες του στο REST API του Magento που δέχεται μεταφορτώσεις αρχείων ως μέρος των προσαρμοσμένων επιλογών για το στοιχείο καλαθιού.
“Όταν μια επιλογή προϊόντος έχει τύπο “αρχείο”, το Magento επεξεργάζεται ένα ενσωματωμένο αντικείμενο file_info που περιέχει δεδομένα αρχείου με κωδικοποίηση base64, έναν τύπο MIME και ένα όνομα αρχείου. Το αρχείο γράφεται στο pub/media/custom_options/quote/ στον διακομιστή”, το εξηγούν οι ερευνητές.
Η Sansec λέει ότι το “PolyShell” πήρε το όνομά του από τη χρήση ενός αρχείου πολυγλωσσίας που μπορεί να συμπεριφέρεται τόσο ως εικόνα όσο και ως σενάριο.
Ανάλογα με τη διαμόρφωση του διακομιστή ιστού, το ελάττωμα μπορεί να επιτρέψει την απομακρυσμένη εκτέλεση κώδικα (RCE) ή την ανάληψη λογαριασμού μέσω αποθηκευμένου XSS, επηρεάζοντας τα περισσότερα από τα καταστήματα που ανέλυσε η Sansec.
“Η Sansec ερεύνησε όλα τα γνωστά καταστήματα Magento και Adobe Commerce και διαπίστωσε ότι πολλά καταστήματα εκθέτουν αρχεία στον κατάλογο μεταφόρτωσης.”
Έως ότου η Adobe κυκλοφορήσει την ενημερωμένη έκδοση κώδικα στις εκδόσεις παραγωγής, συνιστάται στους διαχειριστές καταστημάτων να προβούν στις ακόλουθες ενέργειες:
- Περιορίστε την πρόσβαση σε pub/media/custom_options/
- Επαληθεύστε ότι οι κανόνες nginx ή Apache εμποδίζουν πραγματικά την πρόσβαση εκεί
- Σάρωση καταστημάτων για μεταφορτωμένα κελύφη, κερκόπορτες ή άλλο κακόβουλο λογισμικό
Η BleepingComputer επικοινώνησε με την Adobe για να ρωτήσει πότε θα είναι διαθέσιμη μια ενημέρωση ασφαλείας για το PolyShell, αλλά δεν έχουμε λάβει νέα από τη δημοσίευση.
Το κακόβουλο λογισμικό γίνεται πιο έξυπνο. Η Κόκκινη Έκθεση 2026 αποκαλύπτει πώς οι νέες απειλές χρησιμοποιούν τα μαθηματικά για να ανιχνεύουν sandbox και να κρύβονται σε κοινή θέα.
Κατεβάστε την ανάλυσή μας για 1,1 εκατομμύρια κακόβουλα δείγματα για να αποκαλύψετε τις 10 κορυφαίες τεχνικές και να δείτε εάν η στοίβα ασφαλείας σας έχει τυφλωθεί.
VIA: bleepingcomputer.com
