0x01 漏洞简述
2020年10月19日，360CERT监测发现 Adobe 发布了 Magento Commerce/Open Source 代码执行漏洞 的风险通告，该漏洞编号为 CVE-2020-24407 & CVE-2020-24400 ，漏洞等级： 高危 ，漏洞评分： 8.8 。
Adobe 此次更新中发布了两个严重漏洞，六个高危漏洞和一个中危漏洞。
对此，360CERT建议广大用户及时将 Magento Commerce/Open Source 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 360CERT评分 | 8.8 |
0x03 漏洞详情
CVE-2020-24407: 代码执行漏洞
该漏洞源于应用程序使用 allow list 方法检查文件扩展名时未验证完整文件名。未经身份验证(需要有管理特权)的攻击者可以利用此漏洞绕过验证并上传恶意文件。
CVE-2020-24400: SQL注入漏洞
攻击者可以利用它来攻击应用程序对其数据库进行的查询。 未经身份验证(需要有管理特权)的攻击者可以利用此漏洞来获得对数据库的任意读取或写入访问权限。
0x04 影响版本
-
Adobe:Magento Commerce/Open Source: <=2.3.5-p2 -
Adobe:Magento Commerce/Open Source: <=2.4.0 -
Adobe:Magento Commerce/Open Source: <=2.3.5-p1
0x05 修复建议
通用修补建议
Adobe将建议用户将其安装更新为最新版本：
- Magento Commerce 2.4.0 用户升级到 2.4.1 版本：https://devdocs.magento.com/guides/v2.4/release-notes/commerce-2-4-1.html
- Magento Commerce 2.3.5 用户升级到 2.3.6 版本：https://devdocs.magento.com/guides/v2.3/release-notes/commerce-2-3-6.html
- Magento Open Source 2.4.0 用户升级到 2.4.1 版本：https://devdocs.magento.com/guides/v2.4/release-notes/open-source-2-4-1.html
- Magento Open Source 2.3.5 用户升级到 2.3.6 版本：https://devdocs.magento.com/guides/v2.3/release-notes/open-source-2-3-6.html
0x06 产品侧解决方案
360城市级网络安全监测服务
360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。
0x07 时间线
2020-10-15 Adobe发布通告
2020-10-19 360CERT发布通告
0x08 参考链接
0x09 特制报告下载链接
一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。 用户可直接通过以下链接进行特制报告的下载。
CVE-2020-24407/24400：Adobe Magento 远程代码执行漏洞通告
若有订阅意向与定制需求请发送邮件至 g-cert-report#360.cn ，并附上您的 公司名、姓名、手机号、地区、邮箱地址。