300 duizend Magento-sites kwetsbaar voor ernstig SQL-lek

Magento is een populair, open-source e-commerce platform van Adobe. Gebruikers kunnen kiezen uit Magento Open Source (de php-versie) en Magento Commerce, een betaalde cloud-variant. De software wordt gebruikt door webshops, die nu gevaar lopen.  

Proof-of-concept is gedemonstreerd

Beveiligingsonderzoekers van Sucuri schrijven in een blogpost over PRODSECBUG-2198, een SQL-infectiebug die kwaadwillenden zonder authenticatie kunnen misbruiken. Een hacker die weet hoe hij gebruikersnamen en wachtwoord-hashes kan downloaden en kraken, kan de controle overnemen van een administratoraccount. Als dat gelukt is, kan hij bijvoorbeeld een achterdeurtje in de software installeren of creditcardgegevens skimmen.

Sucuri claimt met succes een proof-of-concept van de kwetsbaarheid te hebben gemaakt. Eén van de beveiligingsonderzoekers noemt de bug een ‘serieuze kwetsbaarheid’ omdat hackers de aanval kunnen automatiseren en zo snel en eenvoudig veel webshops kunnen infecteren. Een malwareonderzoeker van  antivirusmaker Malwarebytes zegt tegen Arstechnica dat kwaadwillenden vast en zeker wachten op het proof-of-concept zodat ze de bug kunnen misbruiken.

Installeer de update

Magento-ontwikkelaars hebben PRODSECBUG-2198 deze week gedicht, zo is te lezen in een blog. Een update is nu beschikbaar. Magento heeft ook tientallen andere beveiligingslekken opgespoord en gedicht. Wie die fixes wil doorvoeren, moet zijn site updaten naar Magento Commerce 2.3.1 of Magento Open Source 2.2.8.

Het is overigens niet de eerste keer dat Magento getroffen is door zo'n bug. Vorig jaar ontdekte een Nederlandse onderzoeker dat 7000 webshops met Magento de betaalgegevens van hun klanten niet privé hielden. Geavanceerde malware onderschepte de informatie