CosmicSting est l’une des menaces les plus sérieuses pour les boutiques Magento et Adobe Commerce de ces dernières années. Nous avons observé de nombreuses attaques contre des boutiques, à une fréquence de 3 à 5 par heure. CosmicSting, référencée sous le nom CVE-2024-34102, permet aux attaquants d’accéder à des fichiers essentiels, notamment aux données chiffrées et aux clés cryptographiques.
Menace et impact
Les pirates obtiennent l’accès à la clé cryptographique dans le fichier app/etc/env.php, ce qui leur permet de modifier des blocs CMS via l’API Magento et d’injecter du JavaScript malveillant afin de voler les données des clients. De plus, en exploitant une autre vulnérabilité (CVE-2024-2961), ils peuvent exécuter du code sur le serveur et installer une porte dérobée, permettant un accès à long terme au système.
Étapes de l’attaque
La première étape de l’attaque CosmicSting consiste à obtenir la clé de chiffrement, ce qui se fait en envoyant des requêtes correctement construites à l’API Magento. Ensuite, à l’aide de cette clé, les pirates créent un token JWT, leur donnant un accès illimité à l’API Magento. Enfin, ils modifient les blocs CMS existants en y ajoutant des scripts malveillants.
Comment se protéger ?
1. Mise à jour du système - La mise à jour d’Adobe Commerce vers la dernière version est essentielle pour éviter le vol de clés cryptographiques.
2. Changement de clé - Même après la mise à niveau, il est recommandé de générer une nouvelle clé et d’invalider l’ancienne. Adobe fournit également des correctifs spécifiques pour ceux qui ne peuvent pas effectuer la mise à niveau immédiatement.
Mesures temporaires
Si la mise à jour n’est pas possible, une alternative consiste à bloquer les requêtes vers /v1/cmsBlock. Cela peut limiter les actions des pirates, mais ne fournit pas une protection complète, car d’autres endpoints API peuvent encore être exposés.
Il est également utile de mettre en place des outils de surveillance qui détectent le JavaScript non autorisé, renforçant ainsi la sécurité de votre boutique Magento. Il est également possible d’exécuter un module Magento qui nettoie le code des scripts avant l’enregistrement des blocs CMS et avant leur affichage sur la page.
Résumé :
CosmicSting représente une menace sérieuse pouvant avoir des conséquences désastreuses pour les boutiques non protégées. Tous les utilisateurs de Magento et Adobe Commerce doivent prendre immédiatement des mesures pour mettre à jour leur système et protéger les données de leurs clients.