Một RCE nghiêm trọng khác được phát hiện trong nền tảng Adobe Commerce và Magento

Vào thứ Năm, Adobe đã cập nhật hướng dẫn bảo mật cho một zero-day đã bị khai thác trong thực tế, ảnh hưởng đến Adobe Commerce và Magento Open Source để vá một lỗ hổng mới được phát hiện có thể bị lạm dụng để thực thi mã tùy ý.

Bản cập nhật bổ sung thêm thông tin về một lỗ hổng mới có định danh CVE-2022-24087, được cho là do nhà nghiên cứu Blaklis đã phát hiện và báo cáo lỗ hổng.

Giống như CVE-2022-24086, lỗ hổng được xếp ở mức nghiêm trọng (điểm CVSS: 9,8), liên quan đến vấn đề thiếu kiểm tra, xác thực dữ liệu đầu vào, ảnh hưởng đến Adobe Commerce và Magento Open Source các phiên bản <= 2.4.3-p1 và <= 2.3.7-p2; các phiên bản từ 2.3.0 đến 2.3.3 không bị ảnh hưởng.

Công ty cho biết "đã phát hiện các biện pháp bảo mật bổ sung cần thiết cho CVE-2022-24086 và đã phát hành bản cập nhật mới để khắc phục hai lỗ hổng này". "Adobe chưa có thông tin về bất kỳ hành vi khai thác nào đối với CVE-2022-24087"

Trong một bài đăng, Blaklis cùng với Eboda đã tweet “Một bản vá mới đã được phát hành cho Magento 2 để giảm thiểu khả năng thực thi mã từ xa mà không cần xác thực”. "Nếu bạn đã cài đặt bản vá đầu tiên, điều này KHÔNG ĐẢM BẢO an toàn. Vui lòng cập nhật lại!"

Tại thời điểm bản vá được phát hành, công ty an ninh mạng Positive Technologies cho biết đã tạo thành công một mã khai thác cho CVE-2022-24086 để thực thi mã từ xa từ người dùng chưa được xác thực. Điều này cho thấy nguy cơ cao lỗ hổng có thể bị tin tặc lợi dụng khai thác.

Người dùng nên nhanh chóng cài đặt các bản vá để ngăn chặn các rủi ro liên quan đến lỗ hổng.

Nguồn: thehackernews.com.