【缝隙公告】Adobe远程代码执行缝隙（CVE-2022-24086）

颁布功夫 2022-02-18


0x00 缝隙概述

CVE   ID

CVE-2022-24086

时    间

2022-02-13

类    型

RCE

等    级

严重

远程利用

是

影响领域


攻击复杂度

低

用户交互

无

PoC/EXP


在野利用

是

 

0x01 缝隙详情

Adobe Magento是Adobe公司的一套开源的PHP电子商务系统，，，该系统提供权限治理、、搜索引擎和支付网关等职能，，，Magento Open Source是Magento的开源版本。。。

2022 年2月13日，，，Adobe颁布安全布告，，，修复了Adobe Commerce 和 Magento Open Source中由于输入验证不当导致的一个远程代码执行缝隙（CVE-2022-24086），，，其CVSSv3评分为9.8，，，成功利用此缝隙将导致肆意代码执行。。。该缝隙无需任何痛处即可被利用，，，但攻击者必须拥有治理权限。。。Adobe暗示此缝隙已在针对Adobe Commerce用户的有限攻击中被利用。。。     

2月17日，，，Adobe更新安全布告，，，Adobe Commerce 和 Magento Open Source中存在另一个远程代码执行缝隙（CVE-2022-24087），，，其CVSSv3评分为9.8，，，成功利用此缝隙将导致肆意代码执行。。。

 

影响领域

Adobe Commerce、、Magento Open Source 2.3.3-p1 - 2.3.7-p2

Adobe Commerce、、Magento Open Source 2.4.0 - 2.4.3-p1

注：：：Adobe Commerce 和 Magento Open Source 版本2.3.0 - 2.3.3 不受影响。。。

 

0x02 安全建议

目前这些缝隙已经修复，，，建议受影响用户实时装置补�。。�：：：

受影响用户必须装置两个补�。。�：：：首先利用 MDVA-43395 补丁，，，而后再利用 MDVA-43443补丁。。。

下载链接：：：

https://helpx.adobe.com/security/products/magento/apsb22-12.html

 

0x03 参考链接

https://support.magento.com/hc/en-us/articles/4426353041293-Security-updates-available-for-Adobe-Commerce-APSB22-12-

https://helpx.adobe.com/security/products/magento/apsb22-12.html

https://thehackernews.com/2022/02/critical-magento-0-day-vulnerability.html

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24086

 

0x04 版本信息

版本

日期

批改内容

V1.0

2022-02-14

初次颁布

V2.0

2022-02-18

新增CVE-2022-24087缝隙信息

 

0x05 附录

OG东方厅简介

OG东方厅公司成立于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是国内极具实力的、、占有齐全自主知识产权的网络安全产品、、可信安全治理平台、、安全服务与解决规划的综合提供商。。。

公司总部位于北京市中关村软件园，，，在全国各省、、市、、自治区设有分支机构，，，占有覆盖全国的渠道系统和技术支持中心，，，并在北京、、上海��、、成都、、昭通、、长沙、、荆门等多地设有研发中心。。。

多年来，，，OG东方厅致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，，，援手客户全面提升其IT基础设施的安全性和出产效力，，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。。。


关于OG东方厅

OG东方厅安全应急响应中心重要针对重要安全缝隙的预警、、跟踪和分享全球最新的威胁谍报和安全汇报。。。

关注以下公家号，，，获取全球最新安全资讯：：：

image.png