Vulnérabilités critiques dans la plateforme de commerce électronique Magento

La société Adobe une mise à jour du micrologiciel et un SDK pour l'environnement SGX, dans lequel elle a tenté de bloquer l'attaque par contournement. Les méthodes proposées d'attaque ne sont actuellement applicables qu'aux processeurs Intel, mais il n'est pas exclu que LVI soit adapté à d'autres processeurs susceptibles d'être sujets aux attaques de type Meltdown. mise à jour de la plateforme open source pour l'organisation du commerce électronique Magento (2.3.4, 2.3.3-p1 et 2.2.11), qui détient environ 10% le marché des systèmes de création de boutiques en ligne (Adobe a acquis Magento en 2018). La mise à jour corrige 6 vulnérabilités, dont trois ont été classées comme critiques (les détails ne sont pas encore communiqués) :

• CVE-2020-3716 — possibilité d'exécution de code de l'attaquant lors de la désérialisation de données externes ;
• CVE-2020-3718 — contournement des mécanismes de protection, entraînant l'exécution de code arbitraire côté serveur ;
• CVE-2020-3719 — possibilité d'injection de commandes SQL, permettant d'accéder aux données dans la base de données.

Source : opennet.ru