Šta se desilo?

Bezbednosna kompanija Sansec otkrila je neispravljenu ranjivost u Magento Open Source i Adobe Commerce koju napadači aktivno koriste od 4. septembra. Ranjivost, nazvana StyleSmuggler, omogućava napadačima da izvršavaju proizvoljni kod na serverima prodavnica bez prijave i instaliraju trajne backdoor-e. Adobe do 6. septembra nije izdao nikakav advisory, CVE identifikator, zakrpu ili privremeno rešenje.

Koga pogađa?

Pogođene su online prodavnice koje koriste Magento Open Source i Adobe Commerce, uključujući sve trenutne verzije do 2.4.9. Posebno su ugroženi vlasnici e-commerce platformi jer napadači mogu neometano da pristupe serveru i instaliraju zlonamerni kod. Većina pogođenih prodavnica prema dostupnim informacijama koristi Magento Open Source, ali Adobe Commerce nije isključen iz rizika.

Kako se zaštititi?

  • Privremeno onemogućite GraphQL servis dok Adobe ne objavi zakrpu, osim ako koristite headless ili progressive web app arhitekturu
  • Redovno pratite objave Adobe Security Bulletin-a i primenite sve raspoložive zakrpe
  • Aktivno pratite log-e servera i tražite sumnjive procese pod imenom [kworker/u:8:0]
  • Proverite /var/spool/cron/crontabs/ direktorijum za nepoznate cron unose
  • Rotirajte sve Magento kredencijale i session ključeve kao preventivnu meru
  • Analizirajte ~/.local/share/.gvfsd/ direktorijum za bilo koje sumnjive binarne fajlove
  • Implementirajte sisteme za detekciju anomalija na Redis instancama

Tehnički detalji

Napadači koriste dvostepenu napad tehniku. Backdoor se instalira kao statički povezan Rust program veličine oko 1.9 MB za x86-64 i arm64 arhitekturu. Malver se maskira kao Linux kernel thread i smešta se u ~/.local/share/.gvfsd/gvfsd-user umesto korena veba. Cron unos automatski restartuje proces svakih pet minuta bez logovanja u sistemski log. Neki implanti koriste lokalnu Redis instancu na portu 6379 za čitanje Magento session podataka umesto direktne komunikacije sa C2 serverima. Sansec je identifikovao ranjivost kao unauthenticated remote code execution vektor, verovatno kroz GraphQL endpoint.

Preporuka Sajber Radara

Vlasnici Magento i Adobe Commerce prodavnica trebaju odmah da preuzmu akciju - ovo je aktivna pretnja bez dostupne zakrpe od strane proizvođača. Preporučujemo trenutno gašenje GraphQL servisa ako nije apsolutno neophodan, detaljno skeniranje svih serverskih sistema na znakove kompromitovanja i dnevnu proveru obaveza Adobe-a za bezbednosnu zakrpu.