Ejecución de código arbitrario, SQL injection y otras vulnerabilidades encontradas en Magento

Desde el boletín de seguridad de Adobe ASPB20-59 se informa de vulnerabilidades críticas e importantes en el conocido CMS. Estas actualizaciones afectan a las versiones 2.3.5-p1 y 2.4.0, así como a las anteriores, de los productos Magento Commerce y Magento Open Source.

Dos de las vulnerabilidades encontradas por los investigadores están catalogados como críticas. La primero de ellas, que ha sido etiquetada con el identificador CVE-2020-24407, podría permitir la ejecución de código arbitrario. Más concretamente, un atacante podría lograr subir ficheros maliciosos a la plataforma eludiendo los mecanismos que validan las extensiones permitidas.

El otro error crítico, una vulnerabilidad SQL Injection etiquetada con el identificador CVE-2020-24400, también es de alto riesgo pues podría permitir a un atacante remoto acceso de lectura o escritura a la base de datos. Si bien en ambos casos son necesarios privilegios de administrador, según el informe no se requiere autenticación previa.

Además de las anteriores, se han reportado y también corregido, seis vulnerabilidades importantes y una de severidad moderada. Listamos las mismas a continuación, comenzando por las de mayor riesgo:

• CVE-2020-24402: La explotación de esta vulnerabilidad podría permitir la modificación no autorizada de la lista de clientes.
• CVE-2020-24401, CVE-2020-24405 y CVE-2020-24403: Aprovechando estos errores, un atacante podría conseguir acceso no autorizado a recursos restringidos.
• CVE-2020-24404: En este caso, un atacante podría conseguir modificar de forma no autorizada las páginas del CMS Magento.
• CVE-2020-24408: Esta vulnerabilidad podría permitir a un atacante ejecutar código Javascript arbitrario en el navegador (Cross-site Scripting almacenado).
• CVE-2020-24406: De severidad moderada, podría permitir la divulgación de información confidencial, concretamente referente al directorio raíz.

La mayoría de ellas no requiere atenticación previa, aunque sí permisos de administrador, con excepción de la vulnerabilidad Cross-site Scripting etiquetada como CVE-2020-24408, que sí requiere credenciales pero no privilegios de administrador.

Todas ellas se encuentran corregidas en las siguientes versiones lanzadas por Adobe las cuales están disponibles en su pagina oficial, por lo que se recomienda la actualización de las plataformas:

Más información:

Adobe Security Bulletin ASPB20-59
https://helpx.adobe.com/security/products/magento/apsb20-59.html

Critical Magento Holes Open Online Shops to Code Execution. Lindsey O’Donnell
https://threatpost.com/critical-magento-holes-online-shops-code-execution/160181