Fallo de seguridad grave en Prestashop y cómo solucionarlo. Junio 2022.

El viernes Prestashop nos mandó, a los que estamos en su lista de correo, que se había descubierto un fallo de seguridad grave en su sistema. Y que, por lo tanto, todas las páginas que están funcionando con este sistema tienen esta vulnerabilidad y debe arreglarla lo antes posible.

Aquí podéis ver cómo funciona el ataque que aprovecha el fallo: https://build.prestashop.com/news/major-security-vulnerability-on-prestashop-websites

Básicamente los atacantes usan inyecciones de SQL para poder poner un formulario de pago falso en tu página, normalmente en la parte del pago. Y así recopilar datos de tarjetas de crédito.

Qué se puede hacer para solucionar el problema.

Como siempre, lo importante es mantener tu web lo más actualizada posible, tanto el core de Prestashop como los módulos. Sabemos que esto no siempre es fácil en este gestor de contenidos, pero es importante.

Prestashop ha sacado esta mañana una nueva versión, un parche, que arregla los posibles vectores de ataques conocidos de este fallo (Prestashop 1.7.8.7) https://build.prestashop.com/news/prestashop-1-7-8-7-maintenance-release/ Actualiza en cuanto puedas.

Los desarrolladores de Prestashop han identificado que uno de las posibles (puede haber más) vectores de ataque en este caso es una funcionalidad poco usada de este sistema: MySQL Smarty cache. Mientras actualizas, puedes deshabilitar este sistema. Nosotros lo hicimos el viernes en todos nuestros clientes con PS.

Para ello tienes que ir al fichero config/smarty.config.inc.php y editarlo.

Ahí, entre las líneas 43-46 (PrestaShop 1.7) o 40-43 (PrestaShop 1.6), tienes el siguiente código que puedes comentar o quitar:

if (Configuration::get('PS_SMARTY_CACHING_TYPE') == 'mysql') {
    include _PS_CLASS_DIR_.'Smarty/SmartyCacheResourceMysql.php';
    $smarty->caching_type = 'mysql';
}

Guarda el fichero y súbelo, y ya tienes ese vector tapado.

Importante: esto es sólo para evitar que entren por este fallo. NO es suficiente si ya han entrado. Y no quita que tengas que actualizar todo por si hay otros vectores.

Cómo saber si te han afectado.

Esto debes hacerlo aunque soluciones el fallo antes mencionado. Es identificar si han usado el ataque en tu web. Busca en los registros a ver si encuentras el fichero

blm.php

que es un fichero que se crea durante el ataque. Si es así, estás “infectado” y deberías revisar los ficheros modificados que puedan tener código malicioso y reemplazarlos.