Check Point descubre una vulnerabilidad masiva en la plataforma de eCommerce Magento
Check Point Software ha anunciado que su Grupo de Investigación de Vulnerabilidades y Malware ha descubierto recientemente una vulnerabilidad crítica del tipo RCE (Remote Code Execution o ejecución remota de código) en la plataforma web de ecommerce de eBay Magento, que afecta a cerca de doscientas mil tiendas online. En el caso de ser explotada, dicha vulnerabilidad comprometería plenamente cualquier tienda online basada en la plataforma Magento, incluyendo información de tarjetas de crédito y otros datos financieros o personales de sus clientes.
La vulnerabilidad permite a cualquier atacante eludir todos los mecanismos de seguridad y obtener el control de la tienda y de su base de datos completa, lo que permite el robo de tarjetas de crédito o realizar cualquier otro acceso administrativo al sistema.
“A medida que las compras online ganan terreno al comercio tradicional, los sitios de comercio electrónico se convierten en un objetivo clave para los cibercriminales, ya que saben que son una mina de oro para información sobre tarjetas de crédito”, destaca Shahar Tal, responsable del Grupo de Investigación de Vulnerabilidad y Malware de Check Point. “La vulnerabilidad descubierta representa una amenaza significativa no sólo para una tienda, sino para todas las marcas minoristas que utilizan la plataforma Magento para sus tiendas online, lo que representa cerca de un 30% del mercado del comercio electrónico”.
Check Point divulgaba de forma privada estas vulnerabilidades junto con una lista de recomendaciones para corregirlas dirigida a eBay antes de su anuncio público. Un parche para hacer frente a las mismas fue lanzado el pasado 9 de febrero de 2015 (SUPEE-5344 disponible aquí). Se recomienda a los propietarios o administradores de tiendas online aplicar este parche de forma inmediata. Los clientes de Check Point ya están protegidos frente a los intentos de explotación de esta vulnerabilidad a través del Software Blade IPS. Para obtener más información, por favor visite nuestro blog.
