Parche del Filtro de Plantillas de Magento 2 para CVE-2022-24086, CVE-2022-24087

Parche de Magento 2 para CVE-2022-24086, CVE-2022-24087. Corrige la vulnerabilidad RCE y los errores relacionados mediante un escape profundo de variables de plantilla. Si no puede actualizar Magento o no puede aplicar los parches oficiales, pruebe este.

Antecedentes

El CVE-2022-24086 (con CVE-2022-24087) fue descubierto a principios de 2022.

Versiones de Magento afectadas

• 2.3 series: <=2.3.7-p2
• 2.4 series: <=2.4.3-p1

Las tiendas afectadas presentan esta vulnerabilidad de ejecución remota de código (RCE) sin solución alternativa. Se publicaron 2 parches aislados oficiales en febrero de 2022.

Sin embargo, incluso a finales de 2024, seguimos recibiendo consultas sobre este problema y se identificó que sus tiendas hackeadas fueron explotadas mediante esta vulnerabilidad. Los ataques observados se realizaron introduciendo una cadena que contiene template directive. Normalmente haciendo uso del proceso de pago, acciones que pueden provocar el envío de un correo electrónico con campos controlables por el usuario, etc.

Hemos creado este parche debido a este ataque generalizado y a que algunas tiendas todavía tienen dificultades para actualizar a versiones no afectadas o aplicar los 2 parches oficiales.

Al hacer este parche como extensión, tenemos en cuenta la compatibilidad. Se ha probado principalmente en la serie Magento 2.4.

Características

• Corregida la RCE causada por datos de usuario maliciosos (entrada del usuario)
• Corregido un error no intencionado de parseo de datos de usuario
• Mantiene la compatibilidad en la medida de lo posible con plantillas antiguas (consulte la Sección de Compatibilidad de Plantillas a continuación)

Compatibilidad de Plantillas

Aunque la documentación oficial dice que "ya no se pueden llamar métodos desde variables, ni desde la directiva var ni cuando se usan como parámetros", como hemos confirmado, incluso en la última versión (2.4.7-p3), todavía se permite llamar al método "Getter" en el Objeto de Datos y llamar al método getUrl en el Objeto de Plantilla de Correo Electrónico (\Magento\Email\Model\AbstractTemplate).

Este parche (extensión) también conserva las características anteriores. Por lo tanto, {{var data_object.something}} y {{var data_object.getSomething()}} son ambas válidas y equivalentes.

Ejemplo de getUrl:

{{var this.getUrl($store,'route_id/controller/action',[_query:[param1:$obj.param1,param2:$obj.param2],_nosid:1])}}

En resumen, después de instalar esta extensión:

• No se puede acceder a los objetos que no sean \Magento\Framework\DataObject o una instancia hija del mismo.
• Solo se permiten métodos "Getter" en \Magento\Framework\DataObject y sus instancias hijas
• El método getUrl solo funciona en this

Información Técnica

Enfoque Oficial

>=2.4.3-p2

Se eliminó LegacyResolver para detener la RCE.

>=2.4.4-p2 || >=2.4.5-p1

Se introdujo la "directiva diferida con firma" para plantillas hijas. No estamos seguros de si tiene alguna mejora de seguridad.

Última versión (2.4.7-p3)

Todavía tiene un error sin corregir (#39353).

Nuestro Enfoque

Utilice el "escape profundo de variables de plantilla" antes del proceso de filtrado de plantillas. LegacyResolver solo recibirá datos de usuario escapados y, por lo tanto, se puede mantener.

Requisitos

Magento 2.3 o 2.4

Instalación

composer require wubinworks/module-template-filter-patch

♥

Si te gusta esta extensión o te ha ayudado, por favor ★marca con una estrella☆ este repositorio.

También te puede gustar:
Magento 2 patch for CVE-2024-34102(aka Cosmic Sting)
Magento 2 Enhanced XML Security
Magento 2 Encryption Key Manager CLI
Magento 2 JWT Authentication Patch

Magento 2 Disable Customer Change Email Extension
Magento 2 Disable Customer Extension