In der offenen Plattform fĂŒr die Organisation von E-Commerce, Magento, die etwa 10 % des Marktes fĂŒr die Erstellung von Online-Shops ausmacht, wurde eine kritische SicherheitsanfĂ€lligkeit (CVE-2022-24086) entdeckt, die es ermöglicht, Code auf dem Server auszufĂŒhren, indem eine bestimmte Anfrage ohne Authentifizierung gesendet wird. Der AnfĂ€lligkeit wurde ein GefĂ€hrdungsgrad von 9,8 von 10 zugewiesen.
Das Problem wird durch eine fehlerhafte PrĂŒfung der vom Benutzer eingehenden Parameter im Bestellverarbeitungshandler verursacht. Details zur Ausnutzung der SicherheitsanfĂ€lligkeit werden derzeit nicht offengelegt, die Behebung beschrĂ€nkt sich auf die Bereinigung von Zeichen in den Anfrageparametern nach dem regulĂ€ren Ausdruck â/{{.*?}}/â.
Die SicherheitsanfĂ€lligkeit tritt in den Versionen von 2.3.3-p1 bis 2.3.7-p2 sowie von 2.4.0 bis 2.4.3-p1 auf. Ein Patch zur Behebung steht zur VerfĂŒgung (neue Versionen mit der Behebung wurden bisher noch nicht erstellt). Magento-Nutzer wird dringend empfohlen, den Patch umgehend zu installieren, da in der Netzwerkwelt bereits einzelne FĂ€lle der Ausnutzung dieser SicherheitsanfĂ€lligkeit festgestellt wurden, um Angriffe auf Online-Shops durchzufĂŒhren.
Quelle: opennet.ru
