ชื่อปลั๊กอิน: Data privacy extended (data protection law) – GDPR Module
ชื่อช่องโหว่: CSRF (Cross-Site Request Forgery) ในฟีเจอร์ "Delete Account" รุ่น PrestaShop ที่ได้รับผลกระทบ: v1.6.0.4 – v1.7.6.0 รุ่นที่มีช่องโหว่: <3.7.8 รุ่นที่แก้ไขแล้ว: 3.7.8 รายงานช่องโหว่: 20 มิถุนายน 2562 แก้ไขช่องโหว่แล้ว: 25 มิถุนายน 2562
ขณะดำเนินการตรวจสอบความปลอดภัย (security audit) บนลูกค้า PrestaShop คนหนึ่งของเราที่ Astra ฉันพบช่องโหว่ CSRF (Cross-Site Request Forgery) ที่รุนแรงในโมดูล PrestaShop ชื่อ Data Privacy Extended (พัฒนาโดย Innovadeluxe) ปัจจุบันมีการติดตั้งใช้งานมากกว่า 2,500 แห่ง เนื่องจากช่องโหว่นี้ ผู้ใช้ที่ไม่ได้รับการยืนยันตัวตน สามารถลบบัญชีของผู้ใช้ PrestaShop ที่ยืนยันตัวตนแล้วได้ โดยหลอกให้เขาเปิดลิงก์อันตรายบนเว็บ
ในฐานะบริษัทความปลอดภัยที่รับผิดชอบและกังวล Astra รายงานช่องโหว่ให้กับนักพัฒนาทันทีโดยไม่ล่าช้า นักพัฒนาของ Innovadeluxe ตอบสนองอย่างรวดเร็วและกระทำอย่างฉับไว พวกเขาแก้ไขช่องโหว่และเผยแพร่รุ่นที่อัปเดตแล้ว 3.7.8 เมื่อวันที่ 25 มิถุนายน 2562
รายละเอียดช่องโหว่:
โมดูล Data Privacy Extended ทำให้เว็บไซต์ PrestaShop สอดคล้องกับ GDPR มากขึ้น มีฟีเจอร์อย่าง การขอความยินยอมด้านความเป็นส่วนตัวในฟอร์มสมัครรับจดหมายข่าว ฟอร์มติดต่อ ฟอร์มสมัครสมาชิก ฯลฯ เพิ่มเติม ยังอนุญาตให้ลูกค้าลบบัญชีของตนได้ หากไม่มีใบแจ้งหนี้ที่เหมาะสมสำหรับคำสั่งซื้อที่วางไว้ ดังนั้น URL/API endpoint การลบบัญชี จึงมีช่องโหว่ต่อ CSRF (Cross Site Request Forgery) ซึ่งจะอนุญาตให้แฮกเกอร์หลอกผู้ใช้ที่ล็อกอินอยู่ให้ลบบัญชี PrestaShop ของเขา/เธอได้ เพียงแค่เข้าชม URL อันตราย/เข้าชมหน้าเว็บ
รายละเอียดทางเทคนิค:
นี่คือหลักฐานแนวคิด (proof of concept) ที่描述ว่าช่องโหว่สามารถถูกใช้ประโยชน์ได้อย่างไร
สิ่งที่คุณสามารถทำได้:
การโจมตี CSRF น่ากลัว มันปล่อยให้โจมตีได้มือบนข้อมูลละเอียดอ่อนของเว็บไซต์ของคุณ เช่น รายละเอียดบัตรเครดิต ฐานข้อมูลลับ บัญชีผู้ดูแล ฯลฯ แต่ การเตรียมพร้อมไว้ล่วงหน้าสามารถช่วยคุณเบ้าการพยายามเช่นนี้บนเว็บไซต์ของคุณ ได้ ดังนี้คือวิธีบางอย่างที่คุณสามารถปกป้องเว็บไซต์ของคุณ:
1) อัปเดตเป็นรุ่นล่าสุด
นักพัฒนาปลั๊กอินได้อัปเดตและเผยแพร่รุ่นที่แก้ไขแล้วบน PrestaShop หากคุณยังไม่ย้ายไปรุ่นที่อัปเดตและปลอดภัยกว่า (3.7.8) ให้อัปเดตตอนนี้ นอกจากนี้ หากคุณใช้รุ่น CMS ที่ล้าสมัย ให้อัปเดตนั้นด้วย
2) ลงทุนในไฟร์วอลล์
ไฟร์วอลล์เพิ่มชั้นป้องกันบนเว็บไซต์ของคุณ การลงทุนใน Web Application Firewall ที่ดีสามารถให้ความปลอดภัยที่เพิ่มขึ้น ปัญหาน้อยลง โดยพื้นฐานแล้วคือ return on investment ที่สูง ไฟร์วอลล์พรีเมียมหนึ่งคือ Astra Firewall
มันบล็อก CSRF, SQLi, XSS, bad bots, OWASP TOP 10 และ 100+ ภัยคุกคามอื่นๆ ที่จะมาถึงเว็บไซต์ของคุณ ไฟร์วอลล์ยังให้ระบบตรวจสอบต่อเนื่องและครอบคลุมสำหรับเว็บไซต์ของคุณ
คลิกที่นี่เพื่อปกป้องเว็บไซต์ของคุณ
