Alerte historique de 2022 sur une chaîne d'attaque dans PrestaShop

Ce document conserve un contexte historique. N'appliquez pas aujourd'hui les correctifs manuels publiés pendant l'alerte : les branches et les mesures d'atténuation de 2022 sont dépassées.

Le 22 juillet 2022, PrestaShop a signalé des attaques qui enchaînaient une vulnérabilité d'injection SQL avec l'écriture de code au moyen du cache MySQL de Smarty.

L'exploitation nécessitait d'abord une voie d'injection SQL. PrestaShop a indiqué un risque pour les boutiques à partir de la 1.6.0.10 lorsque le cœur, un module ou du code personnalisé fournissait cette voie ; une version 1.7.8.2 ou ultérieure ne devait pas être considérée comme vulnérable à elle seule, sans vérifier ses modules et ses personnalisations. Les versions suivantes ont en outre renforcé le cache concerné.

Que faire si une boutique a pu être exposée

1. Passez-la en maintenance et conservez les fichiers, la base de données et les journaux avant de modifier quoi que ce soit.
2. Identifiez la version exacte, les modules, le thème et le code personnalisé. Migrez les branches non prises en charge vers une version actuellement maintenue.
3. Examinez tout le compte, pas seulement config/smarty.config.inc.php : recherchez les fichiers modifiés, les utilisateurs, les tâches planifiées, la base de données, les identifiants et les autres sites du même hébergement.
4. Mettez de côté vos découvertes de façon réversible et réinstallez le cœur, les modules et le thème à partir de sources officielles ou de copies connues.
5. Corrigez le point d'entrée, changez les identifiants exposés et vérifiez le résultat avec les journaux, des contrôles d'intégrité et des tests fonctionnels.

Mettre à jour ou retirer le bloc historique de Smarty ne prouve pas qu'une boutique déjà compromise est saine. Ne laissez pas de copies de configuration ou de correctifs portant des noms prévisibles dans un répertoire public.

Pendant l'enquête, conservez le contexte de chaque découverte : chemin, date, version et lien avec les requêtes observées. Un fichier portant le même nom qu'un indicateur publié en 2022 peut être une piste, mais son absence n'exclut pas une intrusion.

Préparez la mise à jour sur une copie isolée et vérifiez les commandes, les paiements et les tâches avant de rouvrir. Ne restaurez pas par-dessus une boutique active sans avoir décidé comment préserver les opérations postérieures à la sauvegarde.