Opis
Sistem za spletno trgovino osCommerce vsebuje več ranljivosti, ki omogočijo napadalcu vstavljanje kode, kar ogrozi varnost obiskovalcev trgovin. Napadalec običajno preko ranljivosti spremeni spletne strani in vstavi referenco na zlonamerno kodo, ki skuša izkoristiti varnostne ranljivosti v obiskovalčevem spletnem brskalniku (t.i. “drive-by” napad).
SI-CERT je v zadnjih dneh obravnaval nekaj napadov na slovenske spletne trgovine. Napadalec običajno vstavi HTML oznako oblike <script src=“… lokacija zlonamerne kode …”></script> takoj za naslovom strani (oznako <title>).
Rešitev
Vsem ponudnikom, ki uporabljajo osCommerce platformo, svetujemo nadgradnjo na verziji 2.3.1 ali 3.0.2, ki sta na voljo na naslovu http://www.oscommerce.com/solutions/downloads.
Če ste bili žrtev napada, potem se lahko obrnete na SI-CERT preko elektronskega naslova cert@cert.si. Zabeležite datum in čas spremembe prizadetih PHP in HTML datotek, ter shranite dnevnike spletnega strežnika (log file).