حمله روز صفر به پلت‌فرم تجارت الکترونیک WooCommerce

28 تیر 1400 حمله روز صفر به پلت‌فرم تجارت الکترونیک WooCommerce

روابط عمومی شرکت ایدکو (توزیع‌کننده‌ی محصولات کسپرسکی در ایران)؛ محققین پی برده‌اند آسیب‌پذیری امنیتی تزریق SQL مهم در پلت‌فرم تجارت الکترونیک WooCommerce و پلاگین مربوطه بعنوان یک باگ روز صفر مورد حمله قرار گرفت است. این اکسپلویت WooCommerce را مجبور کرد تا نهایتاً برای آن پچی اورژانسی منتشر کند. باگ مذکور می‌توانست به مهاجمین سایبری و قانون‌شکن اجازه دهد اطلاعات را از پایگاه اطلاعاتی این فروشگاه آنلاین سرقت کنند- هر چیزی از داده‌های مشتری گرفته تا اطلاعات کارت پرداخت و اطلاعات شخصی کارمند. WooCommerce که یک پلت‌فرم محبوب تجارت الکترونیک منبع باز برای وبسایت‌هاست روی WordPress اجرا می‌شود؛ وردپرسی که روی بیش از 5 میلیون سایت در سراسر جهان نصب شده است. وردپرس در حقیقت به تاجرین آنلاین اجازه می‌دهد با گزینه‌های قابل‌سفارشی‌سازی مختلف مانند انوع پرداختی‌های قابل‌قبول، قابلیت‌های شیپینگ، محاسبات مالیات فروش و غیره برای خود ویترین درست کنند.

پلاگین آلوده‌شده بواسطه این باگ، همان قابلیت WooCommerce Blocks است که روی بیش از 200 هزار سایت نصب شده است. این قابلیت در واقع به تاجرین کمک می‌کند تا محصولات خود را روی صفحات وبی نمایش دهند. این باگ (پندینگ CVE) در اصل توسط جاش لدفورد از مرکز امنیت عملیاتیِ توسعه با کمک توماس دووس محقق امنیتی از تیم هکروان گزارش شد. دووس در توییتر خود اعلام کرد که توانسته یک اکسپلویت اثبات مفهوم فعال را در دست گیرد اما او جزئیات این باگ را منتشر نکرد تا درست بعد از اینکه زمانی برای تاجرین باشد که پچی را به کار ببرند. بنابراین جزئیات فنی شاید نشان‌دهنده‌ی این باشد که تزریق  SQL انجام شده بوده است: نوعی حمله که به مجرم سایبری اجازه می‌دهد در جستجوهایی که اپلیکیشن در پایگاه اطلاعاتی‌اش درست می‌کند تداخل ایجاد کند. معمولاً این امر با درج جملات آلوده‌ی SQL در هر فیلد ورودی برای اجرا میسر می‌شود.

اکسپلویت در محیط بیرون

اینکه چقدر از این اکسپلویت هنوز در فضای بیرون مانده نامشخص است. بو لبنز، رئیس بخش مهندسی WooCommerce در این خصوص چنین می‌گوید، «بررسی‌های ما روی این آسیب‌پذیری و اینکه آیا داده دستکاری شده است یا نه هنوز ادامه دارد. ما اطلاعات بیشتری را با صاحبان سایت در میان خواهیم گذاشت؛ اینکه چطور باید این آسیب‌پذیری امنیتی را روی سایت‌هایشان بررسی کرد و اینکه آیا فروشگاهی آلوده شده و اطلاعات اکسپوز شده فقط به این محدود به آنچه سایت دارد ذخیره می‌کند محدود خواهد بود یا نه».

به گفته محققین در  Wordfence «نشان و علایم کمی از اقدامات اکسپلویت دیده شده و احتمال دارد چنین اقداماتی بسیار هدفمند بوده باشند». این را هم بگوییم که یکی از کاربران در بخش کامنت‌های مشاوره WooCommerce نوشته بود که فعالیتی نامعمول مشاهده شده است.

«درست چند ساعت پیش از اعلامیه شما و ایمیل، سایتی که مدیریتش می‌کردم دچار ترافیک شدید اینترنتی شد و بعدش پیام‌های عجیب و غریب مختلف برایم آمد. تا اینجای کار اینطور حدس می‌زنم که خرابکاری و غرض‌مندی در کار نبوده و لاگین‌های فِیل‌شده فقط آی‌پی‌شان ممنوع شده بوده است. شاید همه اینها همزمانی بوده و دسیسه‌ای در کار نیست».

محققین Wordfence برای اینکه تشخص دهید سایتی از پی این حمله خطری متوجهش شده یا نه لاگ فایل‌هایش را بررسی کند شاید نشانه‌هایی در آن‌ها دید. این آسیب‌پذیری روی نسخه‌های 3.3 تا 5.5 پلاگین WooCommerce و نسخه‌های 2.5 تا 5.5 پلاگین WooCommerce Blocks تأثیر گذاشته است. لبنز می‌گوید این شرکت پچی برای همه نسخه‌های تحت خطر ارائه داده که به طور خودکار روی فروشگاه‌های آسیب‌پذیر اعمال شده (بیش از 90 پچ). WooCommerce همچنین توصیه می‌کند پسوردهای ادمین ریست شوند.

 

منبع: کسپرسکی آنلاین (ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکی نام دارد.

محصولات مرتبط

  • Kaspersky Internet Security for Android

    امنیت پیشرفته‌ای که همیشه همراه شماست بخش مهمی از زندگی اکثر ما اکنون روی گوشی‌ها و تبلت‌هاست- پس به امنیت موبایلی نیاز دارید که شما را همیشه امن نگه ...

    9,451,490 ریال
    خرید
  • Kaspersky Cloud Password Manager

    Kaspersky Cloud Password Manager ابزار مدیریت کلمه عبور ابری کسپرسکی (KCPM) ضمن ذخیره ایمن تمامی کلمات عبور مورد استفاده شما برای وبسایت‌ها، اپلیکیشن‌ها، و شبکه‌های اجتماعی آنها را در تمامی ...

    14,181,740 ریال
    خرید
  • Kaspersky Safe Kids

    اپلیکیشن همه‌کاره برای فرزندپروریِ دیجیتال و سلامت خانواده نرم افزار امنیت کودکان کسپرسکی، نظارت‌های والدین را آسان می‌کند. ردیابی مکان و عادات دستگاه، محدودسازی محتوا، متعادل‌سازی ...

    3,545,435 ریال14,181,740 ریال
    خرید
  • Kaspersky Security Cloud Personal

    تمام اپ‌های امنیتیِ ما در دستانتان. به کل خانواده‌ی اپ‌های ما برای دسکتاپ و موبایل دسترسی پیدا کنید. از آنتی‌ویروس گرفته تا ابزارهای حریم خصوصی و اجرایی، هر کدام را به میل ...

    94,595,990 ریال
    خرید
  • Kaspersky Standard

    سیستم امنیتی بهبودیافته به همراه تقویت‌کننده عمکرد دستگاه طرح امنیتی استاندارد ما، نه تنها سیستم امنیتی قدرتمندی را برای انواع ویروس‌ها، بدفزارها و باج‌افزارها ارائه می‌دهد ...

    13,379,850 ریال26,759,700 ریال
    خرید
  • Kaspersky Plus

    امنیت. کارایی. حریم خصوصی. همه در یک برنامه با کاربری آسان کسپرسکی پلاس با ارائه امنیت سایبری نسل بعد، شما در برابر ویروس‌ها، باج‌افزارها و بدافزارهای جدید محافظت کند - بدون ...

    19,186,795 ریال38,373,590 ریال
    خرید
  • Kaspersky Premium

    حفاظت کامل از دستگاه ها، حریم خصوصی و هویت شما با محصول Kaspersky Premium تمام نیازهای امنیتی خود و خانواده‌تان را پوشش دهید. حفاظت پیشرفته ...

    20,524,780 ریال41,049,560 ریال
    خرید
  • Kaspersky Small Office Security

    محافظت در حین کار Kaspersky Small Office Security به طور خاص برای سازمان‌هایی طراحی شده است که 5 تا 50 دستگاه کامپیوتر در خود جای داده‌اند. نصب آن بسیار آسان است؛ مدیریت آن ...

    68,111,996 ریال170,279,990 ریال
    خرید
  • Kaspersky Small Office Security

    امنیت ادارات کوچک

    108,981,356 ریال272,453,390 ریال
    خرید
  • Kaspersky Small Office Security

    امنیت ادارات کوچک

    81,735,116 ریال204,337,790 ریال
    خرید
  • Kaspersky Small Office Security

    130,929,716 ریال327,324,290 ریال
    خرید
  • Kaspersky Small Office Security

    95,358,236 ریال238,395,590 ریال
    خرید
  • Kaspersky Small Office Security

    152,499,656 ریال381,249,140 ریال
    خرید
  • Kaspersky Small Office Security

    108,981,356 ریال272,453,390 ریال
    خرید
  • Kaspersky Small Office Security

    174,448,016 ریال436,120,040 ریال
    خرید
  • Kaspersky Small Office Security

    122,604,476 ریال306,511,190 ریال
    خرید
  • Kaspersky Small Office Security

    196,017,956 ریال490,044,890 ریال
    خرید
  • Kaspersky Small Office Security

    124,874,996 ریال312,187,490 ریال
    خرید
  • Kaspersky Small Office Security

    199,802,156 ریال499,505,390 ریال
    خرید
  • Kaspersky Small Office Security

    175,961,696 ریال439,904,240 ریال
    خرید
  • Kaspersky Small Office Security

    281,540,876 ریال703,852,190 ریال
    خرید
  • Kaspersky Small Office Security

    227,048,396 ریال567,620,990 ریال
    خرید
  • Kaspersky Small Office Security

    363,279,596 ریال908,198,990 ریال
    خرید
  • Kaspersky Small Office Security

    274,350,896 ریال685,877,240 ریال
    خرید
  • Kaspersky Small Office Security

    438,963,596 ریال1,097,408,990 ریال
    خرید
  • Kaspersky Small Office Security

    520,323,896 ریال1,300,809,740 ریال
    خرید
  • Kaspersky Small Office Security

    832,520,396 ریال2,081,300,990 ریال
    خرید

نظر خودتان را ارسال کنید


کاربر گرامی چنانچه تمایل دارید، نقد یا نظر شما به نام خودتان در سایت ثبت شود، لطفاً وارد سایت شوید.
*نظر
کلیه حقوق مادی و معنوی این سایت محفوظ و متعلق به شرکت گسترش خدمات تجارت الکترونیک ایرانیان است و هر گونه کپی برداری از آن پیگرد قانونی دارد