CVE-2022-24087-RCE および CVE-2022-24086-RCE

CVEの説明

CVE-2022-24086 および CVE-2022-24087 - contact form Magento Open Source および Adobe Commerce における不適切な入力検証の脆弱性 - は CVSS スコア 9.8/10 を獲得しており、認証前の問題として分類されています。つまり、認証情報なしで悪用される可能性があります。

影響を受けるバージョン:

Magento Open Source / Adobe Commerce - 2.3.3-p1 - 2.3.4

Magento Open Source / Adobe Commerce - 2.3.4-p2 - 2.4.2-p2

Magento Open Source / Adobe Commerce - 2.4.3 - 2.4.3-p1

分析

CVE-2022-24086 は、Magento ストアに影響を与えた重大なゼロデイセキュリティ脆弱性でした。この脆弱性は限定的な攻撃で報告されました。もう1つの欠陥である CVE-2022-24087 は、同じ深刻度レベルと同様の攻撃ベクトルを持っています。

いくつかの調査の結果、Adobe によるその欠陥の深刻度を示す正規の動作する PoC が見つからなかったため、独自に作成することにしました。公式および非公式のパッチをリバースエンジニアリングしたところ、/app/code/Magento/Email/Model/Template/Filter.php では入力が適切にクリアされておらず、フォーム検証時にプラットフォームが文字タイプの組み合わせを認識できないため、有害なシーケンスが抑制されずに大混乱を引き起こすことが可能であり、通常は不要な入力タイプをサニタイズするために使用される入力検証メソッドをバイパスできることがわかりました。これにより、Magento 内で SQL および PHP オブジェクトインジェクション攻撃が可能になり、不要なデータベースエントリを追加したり、リモートコード実行を可能にしたりすることができます。

公式パッチ（MDVA-43395）に追加された、PoC につながるコードの一部:

CVE-2022-24086 PoC および CVE-2022-24087 PoC

我々がすべきことは、POST するために巧妙なペイロードを作り出すことです: