Kerentanan Magento PolyShell: Upload File Tanpa Autentikasi hingga RCE dan Takeover Akun

Kerentanan Magento PolyShell baru saja terungkap, mengancam jutaan toko online yang menggunakan platform Magento Open Source dan Adobe Commerce. Kerentanan ini memungkinkan pelaku serangan unauthenticated atau tanpa autentikasi untuk mengunggah berkas berbahaya secara bebas, dan berpotensi melakukan eksekusi kode jarak jauh (remote code execution/RCE) sekaligus mengambil alih akun pengguna.

Apa Itu Kerentanan PolyShell pada Magento?

Sansec, perusahaan keamanan siber asal Belanda, memberikan peringatan keras terkait celah kritis pada REST API Magento. Kerentanan ini, yang dinamakan PolyShell, berasal dari mekanisme Magento yang memperbolehkan unggahan file sebagai bagian dari opsi kustom pada item keranjang belanja.

Secara teknis, ketika sebuah produk memiliki opsi bertipe "file," Magento memproses objek file_info yang berisi data file dalam bentuk base64, tipe MIME, dan nama file yang disediakan. File tersebut kemudian disimpan di direktori pub/media/custom_options/quote/ pada server.

Trik dari eksploitasi ini adalah menyamarkan kode berbahaya sebagai file gambar. Jika konfigurasi web server tidak tepat, hal ini membuka peluang bagi penyerang untuk menjalankan kode PHP berbahaya secara jarak jauh atau melakukan stored cross-site scripting (XSS) yang dapat mengakibatkan pengambilalihan akun.

Versi Magento yang Terpengaruh dan Penanganan dari Adobe

Kerentanan ini berdampak pada semua versi Magento Open Source dan Adobe Commerce hingga 2.4.9-alpha2. Sansec mengungkapkan bahwa Adobe telah menangani masalah ini dalam cabang pre-release 2.4.9 melalui APSB25-94, namun belum menyediakan patch terpisah untuk versi produksi yang saat ini banyak dipakai toko online.

Adobe juga menyediakan contoh konfigurasi web server yang dapat membatasi dampak serangan, namun sayangnya mayoritas toko menggunakan konfigurasi kustom yang disediakan oleh penyedia hosting mereka, sehingga risiko tetap tinggi.

Rekomendasi Mitigasi untuk Pemilik Toko Online Magento

Sansec memberikan beberapa langkah penting yang harus dilakukan oleh pengelola toko online berbasis Magento untuk meminimalkan risiko serangan akibat PolyShell:

• Batasi akses pada direktori unggahan pub/media/custom_options/ agar tidak dapat diakses secara langsung oleh publik.
• Pastikan aturan nginx atau Apache menghalangi akses ke direktori tersebut sesuai dengan konfigurasi keamanan yang direkomendasikan.
• Periksa toko online Anda secara rutin untuk mendeteksi adanya web shell, backdoor, atau malware lain yang mungkin sudah tertanam.

Namun perlu dicatat, pembatasan akses direktori tidak serta-merta menghentikan proses upload file berbahaya. Oleh karena itu, penggunaan Web Application Firewall (WAF) yang khusus sangat disarankan untuk mendeteksi dan memblokir file berbahaya sebelum masuk ke server.

Implikasi dan Risiko Keamanan

Kerentanan ini sangat berbahaya karena memungkinkan pelaku kejahatan siber melakukan tindakan tanpa perlu masuk atau memiliki akun di sistem Magento tersebut. Dengan kemampuan mengunggah dan menjalankan kode berbahaya, penyerang bisa:

1. Mengambil alih kendali server web dan akses ke data sensitif pelanggan.
2. Melakukan deface pada situs toko online hingga pencurian data pembayaran.
3. Menyebarkan malware kepada pengunjung toko yang dapat merusak reputasi bisnis.

Analisis Redaksi

Menurut pandangan redaksi, kerentanan PolyShell ini menunjukan betapa pentingnya penerapan keamanan berlapis pada platform e-commerce, terutama yang menyangkut upload file. Banyak toko online mengandalkan konfigurasi default atau kustom dari penyedia hosting tanpa melakukan audit keamanan mendalam, yang pada akhirnya membuka celah bagi serangan berbahaya.

Selain itu, keterlambatan patch terpisah untuk versi produksi menimbulkan tantangan serius bagi pengelola toko yang tidak bisa langsung meng-upgrade ke versi pre-release. Ini memberi waktu bagi penyerang untuk mencari eksploitasi bahkan sebelum patch resmi dirilis secara luas.

Kedepannya, penting bagi pelaku industri e-commerce agar lebih proaktif dalam menguji keamanan aplikasi mereka dan tidak hanya bergantung pada pembaruan vendor. Mengadopsi WAF yang mumpuni dan melakukan pemantauan aktif terhadap aktivitas server harus menjadi standar operasional untuk mencegah kerugian besar akibat serangan siber.

Jangan lewatkan update keamanan penting lainnya dengan mengikuti kami di Google News, Twitter, dan LinkedIn untuk informasi eksklusif seputar keamanan siber dan teknologi terbaru.