Expertos en seguridad han hecho públicas dos vulnerabilidades de ejecución de código remoto clasificadas como de alto riesgo, después de que los proveedores de software de e-commerce fallarán en remediar dichos problemas aún cuando se les informó a finales de diciembre.

High-Tech Bridge Security Research Lab reveló las fallas en los populares proveedores de software osCommerce y osCmax en diferentes avisos el día de ayer, habiendo notificado previamente a las firmas el 21 de diciembre.

Ambas fallas permiten la ejecución remota de código, lo cual es posible por medio de Cross Site Request Forgery (CSRF); las dos han sido calificadas con 5.3 en el CVSSv3. Sin embargo, el proveedor de seguridad dijo que son fácilmente explotables con ingeniería social, por lo que en realidad son un riesgo aun mayor para los clientes.

"La vulnerabilidad puede ser explotada para ejecutar código arbitrario de PHP en sistemas remotos, comprometer la aplicación web vulnerable, la base de datos e incluso el servidor web y su entorno relacionado", dijo el consultor.

"La explotación exitosa de la vulnerabilidad requiere que el atacante acceda al panel de administración, sin embargo, también puede ser explotada por un atacante remoto no autenticado con el uso de CSRF, a lo cual la aplicación también es vulnerable".

High-Tech Bridge encontró dos ejecuciones remotas de código a través de fallas CSRF en sitios e-commerce populares y en osCmax.

Están caracterizadas como vulnerabilidades de inclusión local de archivos PHP (PHP Local File Inclusión) y pueden ser explotadas para ejecutar código PHP arbitrario en el sistema objetivo.

Ilia Kolochenko, CEO de High-Tech Bridge, advirtió a los administradores de osCommerce ser precavidos y no abrir enlaces sospechosos en sus correos electrónicos, en las redes sociales o plataformas de comunicación como WhatsApp.

"Sin embargo, las campañas de spear phishing (phishing dirigido) modernas pueden ser muy eficientes, por ejemplo, muchos dueños de tiendas web abrirían inmediatamente un enlace de un cliente que ya ha gastado 100 dólares en la tienda. Los atacantes pueden comprar un producto de 100 dólares y obtener toda la base de datos de tus clientes inmediatamente después para venderla por cien mil" comentó el investigador a Infosecurity.

"Hemos visto casos donde un exploit de CSRF ha sido hospedado en un sitio web confiable que las víctimas visitan regularmente todos los días. Minimizando cualquier interacción con la víctima".