Los agujeros críticos de Magento abren tiendas Online a la ejecución de código - Calendae | Informática, Electrónica, CMS, Ciberseguridad

Los agujeros críticos de Magento abren tiendas Online a la ejecución de código

Hola, un placer verte por aquí. Te escribe Eduardo Arroyo y en el día de hoy hablaremos sobre Los agujeros críticos de Magento abren tiendas Online a la ejecución de código

Los agujeros críticos de Magento abren tiendas Online a la ejecución de código

Adobe dice que las dos fallas críticas (CVE-2020-24407 y CVE-2020-24400) podrían permitir la ejecución de código arbitrario y acceso de lectura o escritura a la base de datos.

Dos fallas críticas en Magento, la plataforma de comercio electrónico de Adobe comúnmente atacada por atacantes como el grupo de amenazas Magecart, podrían permitir la ejecución de código arbitrario en los sistemas afectados.

Se espera que el comercio minorista crezca en los próximos meses, entre el Amazon Prime Day de esta semana y el Black Friday de noviembre, lo que presiona a Adobe para que solucione rápidamente cualquier agujero en la popular plataforma de código abierto Magento, que impulsa a muchas tiendas. Online.

El jueves, la compañía reveló dos fallas críticas, seis errores importantes y una vulnerabilidad de gravedad moderada que afecta a Magento Commerce (que atiende a empresas que necesitan niveles de soporte premium y tiene una tarifa de licencia que comienza en $ 24,000 por año). ) y Magento Open Source (su alternativa gratuita).

El más grave de ellos incluye una vulnerabilidad que permite la ejecución de código arbitrario. El problema se debe a que la aplicación no valida los nombres de archivo completamente calificados cuando usa un método de «lista de permitidos» para verificar las extensiones de archivo. Esto podría permitir que un atacante eluda la validación y cargue un archivo malicioso. Para aprovechar esta falla (CVE-2020-24407), los atacantes no necesitarían autenticación previa (lo que significa que la falla se puede explotar sin credenciales), sin embargo, necesitarían privilegios administrativos.

El otro defecto crítico es una vulnerabilidad de inyección SQL. Este es un tipo de falla de seguridad web que permite a un atacante interferir con las consultas que una aplicación realiza a su base de datos. Un atacante sin autenticación, pero también con privilegios administrativos, podría aprovechar este error para obtener acceso arbitrario de lectura o escritura a una base de datos.

Adobe también ha lanzado parches para varias vulnerabilidades importantes de autorización incorrecta, que ocurren cuando una aplicación no verifica adecuadamente que un usuario está autorizado para acceder a la funcionalidad, lo que eventualmente podría exponer datos. Estos incluyen una falla que podría permitir la modificación no autorizada de las páginas del Sistema de administración de contenido (CMS) de Magento (CVE-2020-24404), una que podría permitir la modificación no autorizada de una lista de clientes comerciales de comercio electrónico ( CVE-2020-24402) y dos que podrían permitir el acceso no autorizado a recursos limitados (CVE-2020-24405 y CVE-2020-24403).

Otra vulnerabilidad importante es el resultado de una validación insuficiente de la sesión de un usuario, lo que podría permitir que un atacante obtenga acceso no autorizado a recursos limitados (CVE-2020-24401).

Para todas las fallas anteriores, un atacante tendría privilegios administrativos, pero no necesitaría una autenticación previa para explotar la falla, según Adobe.

Finalmente, también se ha corregido una falla importante en la secuencia de comandos entre sitios (CVE-2020-24408), que podría permitir que JavaScript se ejecute de manera arbitraria en el navegador. Para aprovechar esto, un atacante no necesitaría privilegios administrativos, pero necesitaría credenciales.

En particular, están interesados ​​en Magento Commerce, versiones 2.3.5-p1 y anteriores y 2.4.0 y anteriores; así como Magento Open Source, versiones 2.3.5-p1 y anteriores y 2.4.0 y anteriores. Adobe ha lanzado parches (a continuación) en Magento Commerce y Magento Open Source versiones 2.4.1 y 2.3.6 y «recomienda a los usuarios que actualicen su instalación a la última versión».

La actualización de todas las vulnerabilidades es una prioridad 2, lo que significa que existen en un producto que históricamente ha sido de alto riesgo, pero para el que actualmente no se conocen exploits.

«Basándonos en la experiencia anterior, no esperamos que se produzcan exploits. Como práctica recomendada, Adobe recomienda a los administradores que instalen la actualización pronto (por ejemplo, dentro de los 30 días)», según la empresa.

De hecho, Magento ha tenido su parte de brechas de seguridad el año pasado. En julio, Adobe solucionó dos vulnerabilidades críticas y dos fallas de gravedad importantes que podrían haber permitido la ejecución de código y una omisión de verificación de firmas. Y en abril, Adobe arreglado varios defectos críticos en Magento, que si se explota podría conducir a la ejecución de código arbitrario o la divulgación de información.

El problema también surge después de que Magento 1 llegara al final de su vida útil (EOL) en junio, con Adobe haciendo un esfuerzo final para instar a las 100,000 tiendas Online que aún ejecutan la versión obsoleta a migrar a Magento 2. Comerciantes el comercio electrónico debe migrar a Magento 2, que fue lanzado hace cinco años.

.

Recuerda compartir en tus redes sociales para que tus colegas lo consulten

??? ? ? ???

Comparte