Ataque por escalado de privilegios en Magento

Los CMS (Content Management System) de e-Commerce son una herramienta muy versátil, comoda y facilmente gestionable, para obtener un portal electrónico de comercio con el que realizar la venta de productos.

Una de las plataformas más populares es Magento (que pertenece a eBay Inc.) y que cuenta con dos versiones: comunitaria (totalmente gratuita) y la Enterprise (de pago).

Recientemente los investigadores de Securatary han reportado una vulnerabilidad crítica del tipo Administrative Authentication Bypass, que permitiría evitar el sistema de autentificación administrativa y realizar un escalado de privilegios en los portales, para crear un usuario administrativo, con permisos de administrador.
Según estimaciones, esta vulnerabilidad afecta a más de 200.000 portales de comercio electrónico (del tipo *.gostorego.com) que utilizan magento; de no ser parcheada, el atacante podría aprovechar dicha vulnerabilidad para robar créditos y manipular una serie de datos de las tiendas, como cambiar el precio de los productos, dar cupones descuentos …

Para la explotación de dicha vulnerabilidad, ya bautizada como “Stealth Mode” el atacante solo necesita modificar el Host de la cabecera, en la solicitud Get que realice, una vez realizada, el atacante se identifica con la cuenta con privilegios escalados y todas las acciones que realice de forma “suplantada”, en la web atacada, serán registrados como cambios realizados por el dueño de la tienda.

acticulo1

Para demostrar la vulnerabilidad los investigadores han utilizado Burp Suite, que permite fácilmente a un atacante capturar la solicitud de inicio de sesión, cambiar la entrada de host en la cabecera y agregar un usuario nuevo en la tienda objetivo.
De esta vulnerabilidad se informó el 9 de febrero al equipo de seguridad de la empresa eBay, a través de su programa Bug Bounty k, y ya ha sido parcheada.

 

acticulo2

 

Más información en:

• Informe de Securatary (método): PDF
• Blog de Segu-Info: artículo
• The Hacker News: articulo
• News Softpedia (vulnerabilidades): http://news.softpedia.com/newsTag/vulnerability

 

Anuncios

Acerca de sadcastelao

Blog Seguridad Informática

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s

A %d blogueros les gusta esto: