Gần đây, Magento liên tục xuất hiện tin tức do các cuộc tấn công thường xuyên vào hệ thống bảo mật thanh toán. Một vụ tấn công Magento gần đây chứng kiến credit card scraper nhắm vào hệ thống bảo mật thanh toán của cửa hàng Magento để đánh cắp thông tin thẻ tín dụng quan trọng. Do đó, Magento cảnh giác với lỗ hổng trong hệ thống và trong nỗ lực phòng ngừa, thường xuyên phát hành bản vá bảo mật như biện pháp phòng ngừa tấn công tương lai.
Trong bản phát hành mới nhất, Magento đã phát hành bản vá bảo mật có mã "SUPEE 9652" để giải quyết lỗ hổng nghiêm trọng trong thành phần email của Zend framework 1 và 2. Lỗ hổng được coi là nghiêm trọng với mức độ 9.8 khá cao.
Patch SUPEE 9652 khả dụng cho Enterprise Edition 1.9.00 – 1.14.3.1 và Community Edition 1.5.0.11 – 1.9.3.1. Nó chủ yếu giải quyết vấn đề thực thi mã từ xa (remote code execution) dùng lỗ hổng mail, khi kẻ tấn công khai thác lỗ hổng để thực thi mã độc trong hệ thống Magento, từ đó chiếm quyền người dùng.
Làm sao biết mình bị ảnh hưởng?
Mặc dù lỗ hổng được coi nghiêm trọng, chỉ vài hệ thống bị ảnh hưởng cho đến nay. Điều này vì để bị ảnh hưởng, cài đặt cần:
- Chọn và dùng Sendmail làm tùy chọn truyền thư (mail transport): Nếu server dùng Sendmail làm mail transport agent, trang Magento dễ bị tấn công thực thi mã từ xa
- Có cài đặt cấu hình không mặc định: Nếu 'Set Return Path' đặt thành 'Yes', cửa hàng Magento cực kỳ dễ bị tấn công.
Làm sao bảo vệ mình?
Bản vá bảo mật Magento mới phát hành SUPEE-9652 đến để cứu vớt. Ngay khi Magento phát hành patch mới, khuyến nghị cài đặt càng sớm càng tốt. Hơn nữa, khuyến nghị xem lại cài đặt gửi mail. Điều hướng đến cài đặt hệ thống điều khiển địa chỉ "Reply to" cho email gửi từ cửa hàng Magento:
- Trường hợp Magento 1: Điều hướng từ System-> Configuration-> Advanced-> System-> Mail Sending Settings-> Set Return-Path
- Trường hợp Magento 2: Điều hướng từ Stores-> Configuration-> Advanced-> System-> Mail Sending Settings-> Set Return-Path
Trong cả hai trường hợp, chuyển cài đặt "Set Return-Path" thành "No".
Để đảm bảo bảo mật cửa hàng Magento, cài đặt tất cả patch Magento phát hành ngay khi chúng được phát hành. Sự chậm trễ thực thi biện pháp phòng ngừa cho kẻ tấn công cơ hội khai thác lỗ hổng ngay khi họ biết. Kiểm tra kỹ thuật và bảo mật định kỳ cửa hàng giúp bảo vệ Magento store lâu dài và cập nhật bản vá bảo mật mới nhất.