Adobe Commerce và Magento Store bị tấn công từ CosmicSting Exploit

Các nhà nghiên cứu an ninh mạng đã tiết lộ rằng 5% trong số tất cả các Adobe Commerce và Magento Store đã bị tấn công bởi các tác nhân độc hại bằng cách khai thác lỗ hổng bảo mật có tên CosmicSting.

Được theo dõi là CVE-2024-34102 (CVSS: 9,8), lỗ hổng nghiêm trọng liên quan đến việc hạn chế không đúng XML external entity reference (XXE) có thể dẫn đến việc thực thi mã từ xa. Lỗ hổng đã được Adobe vá vào tháng 6 năm 2024.

Một số cuộc tấn công liên quan đến việc vũ khí hóa lỗ hổng để đánh cắp khóa mã hóa bí mật của Magento Store, sau đó được sử dụng để tạo JSON Web Tokens (JWT) với quyền truy cập API quản trị đầy đủ. Các tác nhân đe dọa sau đó đã được quan sát thấy lợi dụng API Magento REST để tiêm các tập lệnh độc hại. Điều này cũng có nghĩa là chỉ áp dụng bản sửa lỗi mới nhất là không đủ để chống lại cuộc tấn công, đòi hỏi chủ sở hữu trang web phải thực hiện các bước để xoay vòng các khóa mã hóa.

Các cuộc tấn công tiếp theo được quan sát vào tháng 8 năm 2024 đã liên kết CosmicSting với CNEXT (CVE-2024-2961), một lỗ hổng trong thư viện iconv trong thư viện GNU C (còn gọi là glibc), để thực thi mã từ xa. CosmicSting (CVE-2024-34102) cho phép đọc tệp tùy ý trên các hệ thống chưa được vá lỗi. Khi kết hợp với CNEXT (CVE-2024-2961), tác nhân đe dọa có thể chuyển sang thực thi mã từ xa, chiếm quyền kiểm soát toàn bộ hệ thống.

Mục tiêu cuối cùng của cuộc tấn công là thiết lập quyền truy cập bí mật, liên tục trên máy chủ thông qua GSocket và chèn các tập lệnh lừa đảo cho phép thực thi JavaScript tùy ý nhận được từ kẻ tấn công nhằm đánh cắp dữ liệu thanh toán do người dùng nhập trên trang web. Những phát hiện mới nhất cho thấy một số công ty, bao gồm Ray Ban, National Geographic, Cisco, Whirlpool và Segway, đã trở thành nạn nhân của các cuộc tấn công CosmicSting.

Nguồn: The Hacker News

Công ty CP Dịch vụ an toàn thông tin TP.HCM (HISSC) chuyên cung cấp các dịch vụ về an ninh mạng gồm:

  • Điện toán đám mây.

  • Mạng phân phối nội dung

  • Giám sát an toàn thông tin mạng.

  • Bảo vệ an toàn thông tin đầu cuối.

  • Sao lưu, phục hồi dữ liệu.

  • Diễn tập phòng chống tấn công mạng.

  • Kiểm tra, đánh giá an toàn thông tin mạng.

  • Đào tạo an toàn thông tin.

  • Dịch vụ khác:

    • Triển khai tích hợp giải pháp công nghệ an toàn thông tin theo yêu cầu.
    • Cho thuê thiết bị an toàn thông tin, công nghệ thông tin

Liên hệ dịch vụ: