厂商纷纷主动绕过Adobe发布的CVE-2022-24086安全补丁

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

电商安全公司 Sansec 提醒称，厂商和机构正在主动绕过Adobe 在2022年2月发布的CVE-2022-24086的安全补丁。该漏洞是位于Adobe Commerce 和 Magento 商店的严重的邮件模板漏洞。

CVE-2022-24086（CVSS评分9.8）是位于结账流程中的一个输入验证不当漏洞，可用于实现任意代码执行。就在补丁发布大概一周后，已出现在野利用。

最初发布的修复方案被指可轻松绕过。几天后，Adobe 发布第二轮补丁和新的CVE编号CVE-2022-24087，差不多同时，该漏洞的PoC利用发布。为修复该漏洞，Adobe 删除了“智能”邮件模板并通过新模板取代了旧的邮件模板变量解析器，以阻止可能存在的注入攻击。然而，此举让很多厂商措手不及，其中某些厂商“不得不恢复到最初的功能”。为此，他们不知不觉地将自己暴露到严重漏洞风险中，尽管他们已经应用了最新补丁。

Sansec公司注意到一些厂商试图在生产的Magento 商店中重新引入被弃用的解析器中，或者通过覆盖新的解析器功能或者通过从老旧版本的Magento中复制代码并将其设为偏好项来实现。

Sansec 公司补充道，“我们在多家机构和扩展厂商中发现了这种冒险行为，他们可能是为了避免升级邮件模板与新的解析器兼容。”该公司表示某些厂商试图通过在不安全的用户输入中增加订购系统基本过滤的方式缓解该安全风险，但这样做无法阻止利用，因为他们只要接触邮件，那么就可从其它子系统中触发该漏洞。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

奥利地公司利用Windows 和 Adobe 0day 攻击欧洲和中美洲实体

Adobe 修复Commerce 和 Magento 平台中的又一个严重RCE

十多年前的 Adobe ColdFusion 漏洞被用于勒索攻击

Adobe 修复严重的 Photoshop 缺陷

黑客在野利用 Adobe Reader 0day 漏洞

原文链接

https://www.securityweek.com/vendors-actively-bypass-security-patch-year-old-magento-vulnerability

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~