Σήμερα ανακοινώθηκε και επίσημα ένα μεγάλο κενό ασφαλείας στη δημοφιλή πλατφόρμα CS-Cart η οποία καλύπτει σχεδόν όλες τις εκδόσεις. Το εν λόγω κενό ασφαλείας εντοπίστηκε από εμάς πρώτη φορά την Παρασκευή 23 Μαϊου και όλο το Σαββατοκύριακο είχε έξαρση σε διάφορους πελάτες μας. Λόγω της ύπαρξης του συνεχούς monitoring των αρχείων που ανεβαίνουν σε πραγματικό χρόνο δεν δημιουργήθηκε κάποιο πρόβλημα σε πελάτη μας, παρόλα αυτά σήμερα και μετά από συνεχή επικοινωνία με την CS-Cart τους κάναμε γνωστό το εν λόγω πρόβλημα ασφαλείας και μετά από στενή συνεργασία έγινε αναγνώριση του κενού ασφαλείας και αναμένεται να βγει και επίσημη ανακοίνωση από τη μεριά τους εντός των επομένων ωρών.
Το εν λόγω κενό ασφαλείας αφορά τις εξής εκδόσεις:
2.x.x, 3.0.x, 4.0.x, 4.1.1 και 4.1.2
Έως τώρα το κενό ασφαλείας χρησιμοποιήθηκε μόνο από ένα bot και σε όλα τα sites υπήρχαν συγκεκριμένα αρχεία τα οποία ανέβηκαν στο directory του cs-cart
js/thumbs.php
images/test.gif
Σε περίπτωση που βρείτε τα εν λόγω αρχεία, διαγράψτε τα άμεσα.
Προς το παρόν το fix είναι να σβηστούν τα ελαττωματικά modules πληρωμών, τα οποία ευτυχώς δεν χρησιμοποιούνται στην Ελλάδα.
Να σημειώσουμε πως στα πλαίσια της προσπάθειας παροχής ασφαλών websites, έχουμε ήδη προβεί στη διαγραφή των εν λόγω αρχείων σε όλα τα πακέτα φιλοξενίας των πελατών μας.
Σε περίπτωση που δεν είστε πελάτης μας:
1) Στο CS-Cart 4.0.x, 4.1.1 και 4.1.2 καθώς και στα Multi-Vendor 4.0.x, 4.1.1 και 4.1.2:
α) Διαγράψτε το αρχείο app/payments/atos.php
β) Διαγράψτε τον κατάλογο app/payments/atos_files
γ) Διαγράψτε το αρχείο app/payments/hsbc.php
δ) Διαγράψτε τον κατάλογο app/payments/hsbc_files
2) Στο CS-Cart 2.x.x και 3.0.x (όλες οι εκδόσεις)
α) Διαγράψτε το αρχείο payments/atos.php
β) Διαγράψτε τον κατάλογο payments/atos_files
γ) Διαγράψτε το αρχείο payments/hsbc.php
δ) Διαγράψτε τον κατάλογο payments/hsbc_files
