Magento 2 Patch de Filtro de Template para CVE-2022-24086, CVE-2022-24087

Magento 2 patch para CVE-2022-24086, CVE-2022-24087. Corrige a vulnerabilidade RCE e bugs relacionados realizando escape profundo de variáveis de template. Se você não pode atualizar o Magento ou não pode aplicar os patches oficiais, experimente este.

Contexto

CVE-2022-24086 (com CVE-2022-24087) foi descoberto no início de 2022.

Versões do Magento Afetadas

• Série 2.3: <=2.3.7-p2
• Série 2.4: <=2.4.3-p1

Lojas afetadas vêm com esta vulnerabilidade de Execução Remota de Código (RCE) sem solução alternativa. 2 patches isolados oficiais foram lançados em fevereiro de 2022.

No entanto, mesmo no final de 2024, ainda estamos recebendo consultas sobre este problema e suas lojas invadidas foram identificadas como tendo sido exploradas por esta vulnerabilidade. Os ataques observados foram realizados inserindo uma string que contém template directive. Tipicamente, aproveitando o processo de checkout, ações que podem disparar o envio de e-mails com campos controláveis pelo usuário, etc.

Criamos este patch devido a este ataque generalizado e ao fato de algumas lojas ainda terem dificuldades para atualizar para versões não afetadas ou aplicar os 2 patches oficiais.

Ao criar este patch como uma extensão, mantemos a compatibilidade em mente. Foi testado principalmente na série Magento 2.4.

Funcionalidades

• Corrigido o RCE causado por dados de usuário maliciosos (input do usuário)
• Corrigido um Bug de Parsing Não Intencional de Dados do Usuário
• Mantém a compatibilidade tanto quanto possível para templates antigos (veja a Seção de Compatibilidade de Template abaixo)

Compatibilidade de Template

Embora a documentação oficial diga "métodos não podem mais ser chamados a partir de variáveis, seja da diretiva var ou quando usados como parâmetros", mas, como confirmamos, mesmo na versão mais recente (2.4.7-p3), ainda é permitido chamar o método "Getter" em um Data Object e chamar o método getUrl no Objeto de Template de E-mail (\Magento\Email\Model\AbstractTemplate).

Este patch (extensão) também mantém as características acima. Portanto, {{var data_object.something}} e {{var data_object.getSomething()}} são ambos aceitáveis e equivalentes.

Exemplo do getUrl:

{{var this.getUrl($store,'route_id/controller/action',[_query:[param1:$obj.param1,param2:$obj.param2],_nosid:1])}}

Em resumo, após instalar esta extensão:

• Objetos que não são \Magento\Framework\DataObject ou suas instâncias filhas não podem ser acessados
• Apenas métodos "Getter" são permitidos em \Magento\Framework\DataObject e suas instâncias filhas
• O método getUrl funciona apenas em this

Informações Técnicas

Abordagem Oficial

>=2.4.3-p2

Removeu LegacyResolver para interromper o RCE.

>=2.4.4-p2 || >=2.4.5-p1

Introduziu "diretiva adiada com assinatura" para template filho. Não temos certeza se isso traz alguma melhoria de segurança.

Última (2.4.7-p3)

Ainda possui um bug não corrigido (#39353).

Nossa Abordagem

Usamos "escape profundo de variáveis de template" antes do processo de filtragem do template. O LegacyResolver receberá apenas dados de usuário escapados e, portanto, pode ser mantido.

Requisitos

Magento 2.3 ou 2.4

Instalação

composer require wubinworks/module-template-filter-patch

♥

Se você gostou desta extensão ou esta extensão ajudou você, por favor, dê ★estrela☆ neste repositório.

Você também pode gostar de:
Magento 2 patch para CVE-2024-34102 (também conhecido como Cosmic Sting)
Segurança XML Aprimorada para Magento 2
CLI de Gerenciador de Chave de Criptografia para Magento 2
Patch de Autenticação JWT para Magento 2

Extensão para Desabilitar Alteração de E-mail do Cliente no Magento 2
Extensão para Desabilitar Cliente no Magento 2