Kritická zranitelnost pojmenovaná StyleSmuggler otřásá světem online obchodů běžících na Adobe Commerce a Magento. Tento zranitelnost zero-day umožňuje vzdálené spuštění kódu bez autentizace, otvírá dveře k insidiózní backdoor na Linuxu. Sotva byla odhalena, vyžaduje okamžitou reakci čelící zásadnímu riziku narušení.
Zranitelnost StyleSmuggler, která otřásá Magento a Adobe Commerce
Identifikována bezpečnostní společností Sansec na začátku září, StyleSmuggler postihuje všechny verze Magento a Adobe Commerce, včetně těch, které jsou zcela aktuální. Útok využívá slabiny v jejich systému šablon. Díky injekci do vlastností CSS, útočníci úspěšně spouští vzdálený zlovolný PHP kód, a to bez jakékoliv interakce s obětí.
Tato manipulace se odehrává při generování zprávy o chybě nebo transakční notifikace prostřednictvím e-mailu, často neviditelné pro uživatele. A co je nejhorší? Systém tento kód vykonává bez jakékoliv kontroly, široce otevírá zadní vrátka na Linuxovém serveru hostujícím obchod.
Jak funguje exploit StyleSmuggler v zákulisí?
Jednoduchý, ale chytrý, exploit injektuje zlovolný kód do CSS stylů používaných Magento. Tento „trik“ obchází standardní ochrany, které obvykle blokují nebezpečný kód. Například manipulace vytváří zprávu o chybě obsahující PHP payload, který bude vykonán později, když je odesílán e-mail.
Proces vypadá jako dobře promazaná mechanika: nejprve je zlovolný kód „otráven“ do systému. Poté ho Magento automaticky spuští, když zpracovává notifikace. Jako špatně nastavená kotelna, která se rozbíhá bez varování, útok se spouští bez vnějšího zásahu.
Backdoor v Rustu potichu skrytá mezi procesy Linuxu
Jakmile je zranitelnost zneužita, útočníci instalují backdoor napsanou v Rustu, což je pro tento typ zařízení spíše vzácné a chytré. Tato zadní vrátka běží na pozadí s přesvědčivými názvy procesů, jako je [kworker/u:8:0], fc-cache nebo chronyd. Není snadné je zaznamenat, spíše naopak.
Odchozí komunikace je stejně důmyslná. Malware maskuje svou komunikaci se serverem pro vzdálenou správu jako běžný NTP (Network Time Protocol) provoz. Toto maskování vážně ztěžuje detekci tradičními nástroji pro sledování sítě.
Rizika a následky pro cílené online obchody
Toto kompromitování je mnohem víc než jen „hackerský útok“: otevírá cestu k úplnému a trvalému přístupu k serveru. Od krádeže citlivých údajů až po vzdálené manipulace, hrozby jsou mnohostranné. V prostředí, kde cirkulují platby a informace o zákaznících, může tento typ zadních vrátků napáchat vážné škody.
Zajímavé je, že dosud nebylo zaznamenáno žádné masivní post-exploitační chování. Přítomnost této backdoor však dává útočníkům páku pro budoucí akce, vyhlížejíce sebemenší příležitost k rozšíření svého vlivu.
Nezbytná opatření k zastavení incidentu StyleSmuggler
První prioritou je okamžitě aplikovat oficiální opravu, kterou Adobe vydala 7. září. I když byla zranitelnost zneužita předtím, je patch nyní zásadní bariérou proti jakékoli nové infiltraci.
Poté je třeba provést hloubkovou analýzu systémů k odhalení případných existujících infekcí. Monitorování by mělo být posíleno na podezřelé systémové procesy a anomálie v síťovém provozu, zejména v NTP komunikaci.
Staré dobré doporučení: rotace klíčů a identifikátorů
Adobe doporučuje provést kompletní rotaci šifrovacích klíčů a administrátorských hesel. Jakmile jsou dveře ponechány otevřené, je lepší vyměnit zámek a klíče.
Také je zásadně důležité být ostražitý vůči neobvyklému nárůstu transakčních e-mailů ukazujících na selhání plateb. Tyto signály mohou indikovat probíhající exploataci a stále aktivní backdoor na serveru.
Pro další pochopení kritických zranitelností na Linuxu a jejich dopadů jsou podrobné analýzy k dispozici na specializovaných platformách, jako je IT Connect nebo také zpráva od Sansec, která podrobně opisuje mechanismus tohoto útoku na jejich oficiálních stránkách.
Co je zranitelnost StyleSmuggler?
StyleSmuggler je kritická zero-day zranitelnost postihující Adobe Commerce a Magento, umožňující vzdálené spuštění kódu bez autentizace.
Jak je backdoor skryta na Linuxu?
Backdoor je program napsaný v Rustu, který se maskuje jako legitimní systémové procesy a skrývá svou komunikaci, jako normální NTP provoz.
Jaké jsou známky kompromitace StyleSmuggler?
Neobvyklé zvýšení transakčních e-mailů ukazujících na selhání plateb a přítomnost podezřelých procesů, jako je [kworker/u:8:0], mohou znamenat infekci.
Co dělat v případě vystavení této zranitelnosti?
Okamžitě aplikovat patch Adobe, analyzovat server na infekci a provést rotaci klíčů a administrátorských hesel.
Zranitelnost StyleSmuggler postihuje všechny verze Magento?
Ano, všechny verze, včetně těch aktuálních, jsou postiženy touto kritickou zranitelností.
Zdroj: www.generation-nt.com