PrestaShop a révélé vendredi que des acteurs destructeurs utilisaient des « vulnérabilités connues et non identifiées » dans les anciennes versions de son application logicielle pour pirater des sites et éventuellement prendre les données de paiement des clients.
» A notre connaissance, la dernière déclinaison de PrestaShop et ses modules sont dépourvus de ces vulnérabilités », précise PrestaShop. « Nous pensons que les opposants ciblent les magasins utilisant des logiciels ou des modules obsolètes, des modules tiers sensibles ou une vulnérabilité encore à découvrir. »
PrestaShop a déclaré qu’il corrigeait une vulnérabilité précédemment non identifiée qui a été trouvée tout en enquêtant sur cette violation. Cependant, l’entreprise a gardé à l’esprit qu’elle doute que ce soit le seul moyen pour les pirates d’exploiter son application logicielle.
PrestaShop est une solution de commerce électronique gratuite et open source qui permet aux utilisateurs d’établir et de gérer en ligne magasins. Il offre des services de paiement sécurisés et d’autres services tels que l’analyse des performances et le marketing Web. Selon PrestaShop, près de 300 000 boutiques en ligne utilisent son application logicielle, et elle a une forte présence en Europe et en Amérique du Sud.
Ce que nous comprenons de la violation de PrestaShop
PrestaShop a déclaré que les sites sur exécutant des versions plus anciennes de son logiciel risquent d’être injectés avec du code malveillant. Ces sites Web subissent des vulnérabilités d’injection SQL, l’entreprise décrite, qui permet aux agresseurs d’y apporter des modifications ou de prendre des données.
SQL est un langage de programmation que la plupart des sites utilisent pour gérer les bases de données. Les attaquants envoient des questions SQL malveillantes via des points de terminaison sensibles pour violer les sites Web. Un agresseur peut utiliser cette vulnérabilité pour acquérir des avantages d’administrateur, lui permettant d’accéder, d’envoyer ou peut-être d’endommager les détails stockés.
Les vulnérabilités d’injection SQL peuvent harceler même les plus grandes organisations. L’année dernière, Zoho Corp a révélé que son outil ManageEngine OpManager présentait une vulnérabilité d’injection SQL.
« Au mieux de notre compréhension, cette préoccupation semble émettre des boutiques basées sur les variantes 1.6.0.10 ou supérieures… » a déclaré PrestaShop. « Les versions 1.7.8.2 et supérieures ne sont pas sensibles à moins qu’elles n’exécutent un module ou un code personnalisé qui consiste lui-même en une vulnérabilité d’injection SQL. Gardez à l’esprit que les variations 2.0.0 ~ 2.1.0 du module Liste de souhaits (blockwishlist) sont sensibles. «
Les attaquants ont inclus un faux type de paiement lors du paiement pour voler des données
Sur la base d’informations provenant de « propriétaires de magasins et de développeurs », PrestaShop a déclaré qu’il semble que les pirates saisissent généralement des codes malveillants pour créer une marque -nouveau fichier sur la base de données d’un site, offrant la possibilité d’exécuter des instructions approximatives.
Avec cette opportunité, ils ajouteraient un faux formulaire de paiement sur la page de paiement du site. Toutes les données de paiement, telles que les informations de carte de crédit, que les clients entrent dans ce type sont envoyées aux agresseurs.
PrestaShop a ajouté qu’il s’agissait du « modèle d’attaque le plus courant », mais les pirates pourraient prendre avantage des utilisateurs par d’autres moyens. Il existe d’autres façons pour les pirates d’exploiter la plage, consistant à « placer un nom de fichier différent, personnaliser d’autres parties du logiciel, implanter du code nuisible à d’autres endroits et même éliminer leurs traces une fois l’attaque réussie ».
Recommandations de PrestaShop aux utilisateurs
PrestaShop recommande aux utilisateurs de s’assurer que leur boutique et leurs modules fonctionnent sur la version actuelle de son logiciel.
L’entreprise a également recommandé aux clients de désactiver MySQL Smarty fonction de stockage de cache dans le code PrestaShop. Selon PrestaShop, cette fonctionnalité « rarement utilisée » est désactivée par défaut, cependant, les pirates peuvent l’autoriser depuis un autre emplacement. La désactiver « casserait la chaîne d’attaque ».
PrestaShop a déclaré qu’il s’occupait d’un spot pour corriger la vulnérabilité liée à cette fonction.
Consultez la déclaration de PrestaShop pour plus de détails , comme la localisation du fichier cache MySQL Smarty. PrestaShop propose à ses clients de faire appel à un spécialiste pour réaliser un audit complet de leur site.
Toute l’actualité en temps réel, est sur L’Entrepreneur
