Krytyczna luka w Adobe Commerce i Magento umożliwiająca wykonanie dowolnego kodu

Co wiadomo

W Adobe Commerce i Magento wykryto krytyczną lukę polegającą na niewłaściwym neutralizowaniu specjalnych elementów w silniku szablonów, co może pozwolić atakującemu na wykonanie dowolnego kodu bez interakcji użytkownika. Luka ta zmienia zakres uprawnień i jest aktywnie wykorzystywana.

Wpływ biznesowy

Eksploatacja tej luki może prowadzić do przejęcia kontroli nad systemem w kontekście aktualnego użytkownika, co stwarza poważne zagrożenie dla integralności i bezpieczeństwa infrastruktury IT. Atakujący mogą wykonywać złośliwe działania, co może skutkować utratą danych, zakłóceniem działania usług oraz naruszeniem poufności informacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji bezpieczeństwa od Adobe dla produktów Commerce i Magento oraz ich wdrożenie. W międzyczasie ogranicz ekspozycję systemów na dostęp zewnętrzny, monitoruj logi pod kątem podejrzanej aktywności i przeprowadź ocenę ryzyka. Warto również zweryfikować konfigurację środowiska pod kątem minimalizacji uprawnień. DataHouse wspiera w weryfikacji wersji oprogramowania oraz zarządzaniu procesem aktualizacji i monitoringu bezpieczeństwa.

Źródła

• NVD
• CISA KEV
• Reference
• Reference