Уязвимость XXE в Adobe Commerce и Magento Open Source позволяла украсть секретные ключи, а в сочетании с другой ошибкой — выполнить код. Одного обновления было мало.
Публично раскрыта: 11 июня 2024
11 июня 2024 года Adobe исправила критическую уязвимость в Adobe Commerce и Magento Open Source, позже названную CosmicSting. Без входа злоумышленник мог читать файлы на сервере, включая секретный ключ шифрования магазина, и с его помощью создавать токены доступа администратора. В сочетании с отдельной уязвимостью glibc (CVE-2024-2961) она также позволяла выполнить код. Тысячи магазинов были взломаны, на страницы оформления заказа внедрили код для кражи данных карт.
| CVE | Опасность | Уязвимые версии | Исправлено в |
|---|---|---|---|
CVE-2024-34102 | Критическая, CVSS 9.8 (внедрение внешних сущностей XML) | Adobe Commerce / Magento Open Source 2.4.7 и ранее | 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9 и новее |
Украденный ключ шифрования остаётся действительным после обновления. Adobe рекомендовала магазинам, которые могли пострадать, помимо обновления сменить ключ шифрования.
Интернет-магазинам также стоит отслеживать неожиданный JavaScript на страницах оформления заказа и по возможности использовать платёжную страницу платёжного провайдера.
Источники: Adobe bulletin APSB24-40, NVD CVE-2024-34102.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Новая цепочка эксплойтов даёт root на локальных серверах N-central; атаки начались через несколько часов после публикации. Полного исправления пока нет — срочные проверки.
Читать статьюЭксплуатируемая уязвимость Outlook передаёт хеш NTLM через специальный файл. В этом месяце Microsoft исправила более 1000 уязвимостей — вот приоритеты.
Читать статьюGoogle исправила уже эксплуатируемую уязвимость use-after-free в Chrome. Исправление работает только после перезапуска браузера — как убедиться, что защищён каждый ПК.
Читать статьюНаши инженеры проанализируют вашу текущую инфраструктуру и предложат конкретные улучшения.
