Magento ഇ-കൊമേഴ്‌സ് പ്ലാറ്റ്‌ഫോമിലെ ഗുരുതരമായ അപകടസാധ്യത

ഓൺലൈൻ സ്റ്റോറുകൾ സൃഷ്ടിക്കുന്നതിനുള്ള സിസ്റ്റങ്ങളുടെ വിപണിയുടെ 10% കൈവശപ്പെടുത്തുന്ന ഇ-കൊമേഴ്‌സ് Magento സംഘടിപ്പിക്കുന്നതിനുള്ള ഓപ്പൺ പ്ലാറ്റ്‌ഫോമിൽ, ഒരു നിർണായക അപകടസാധ്യത തിരിച്ചറിഞ്ഞു (CVE-2022-24086), ഇത് സെർവറിൽ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ അനുവദിക്കുന്നു. ആധികാരികത ഇല്ലാതെ ഒരു നിശ്ചിത അഭ്യർത്ഥന അയയ്ക്കുന്നു. അപകടസാധ്യതയ്ക്ക് 9.8-ൽ 10 എന്ന തീവ്രത നിശ്ചയിച്ചിട്ടുണ്ട്.

ഓർഡർ പ്രോസസ്സിംഗ് ഹാൻഡ്‌ലറിലെ ഉപയോക്താവിൽ നിന്ന് ലഭിച്ച പാരാമീറ്ററുകളുടെ തെറ്റായ പരിശോധനയാണ് പ്രശ്‌നത്തിന് കാരണം. അപകടസാധ്യതയെ ചൂഷണം ചെയ്യുന്നതിന്റെ വിശദാംശങ്ങൾ ഇതുവരെ വെളിപ്പെടുത്തിയിട്ടില്ല; "/{{.*?}}/" എന്ന പതിവ് എക്‌സ്‌പ്രഷൻ ഉപയോഗിച്ച് അന്വേഷണ പാരാമീറ്ററുകളിലെ പ്രതീകങ്ങൾ മായ്‌ക്കുന്നതിലേക്ക് ഈ പരിഹാരം തിളച്ചുമറിയുന്നു.

2.3.3-p1 മുതൽ 2.3.7-p2 വരെയുള്ള റിലീസുകളിലും 2.4.0 മുതൽ 2.4.3-p1 വരെയുള്ള റിലീസുകളിലും ഈ അപകടസാധ്യത ദൃശ്യമാകുന്നു. പരിഹാരം ഒരു പാച്ചിന്റെ രൂപത്തിൽ ലഭ്യമാണ് (പരിഹാരത്തോടുകൂടിയ പുതിയ റിലീസുകൾ ഇതുവരെ സൃഷ്ടിച്ചിട്ടില്ല). Magento ഉപയോക്താക്കൾക്ക് പാച്ച് അടിയന്തിരമായി ഇൻസ്റ്റാൾ ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നു, കാരണം ഓൺലൈൻ സ്റ്റോറുകളിൽ ആക്രമണം നടത്താൻ സംശയാസ്പദമായ അപകടസാധ്യത ഉപയോഗിക്കുന്ന വ്യക്തിഗത കേസുകൾ ഇതിനകം തന്നെ ഇന്റർനെറ്റിൽ രേഖപ്പെടുത്തിയിട്ടുണ്ട്.

അവലംബം: opennet.ru