Los investigadores crean un exploit para el error crítico de Magento

Los investigadores de seguridad han creado un código de explotación para CVE-2022-24086, la vulnerabilidad crítica que afecta a Adobe Commerce y Magento Open Source que Adobe parchó en una actualización fuera de banda el domingo pasado .

La vulnerabilidad, que Adobe vio ser "explotada en la naturaleza en ataques muy limitados", recibió una puntuación de gravedad de 9,8 sobre 10 y los adversarios que la explotan pueden lograr la ejecución remota de código en los sistemas afectados sin necesidad de autenticarse.

Hoy temprano, Adobe actualizó su aviso de seguridad para CVE-2022-24086 agregando un nuevo problema que ahora se rastrea como CVE-2022-24087, que tiene el mismo puntaje de gravedad y puede generar el mismo resultado cuando se aprovecha en ataques.

Ambas son vulnerabilidades de validación de entrada incorrecta y la compañía lanzó parches para Adobe Commerce y Magento Open Source para abordar los dos problemas de seguridad.

En un tweet de hoy, el equipo ofensivo de la empresa de ciberseguridad Positive Technologies anunció que crearon un exploit confiable para CVE-2022-24086.


Los investigadores le dijeron a BleepingComputer que los atacantes que aprovechan el error pueden obtener "acceso completo al sistema de destino con privilegios de servidor web".

Advierten que tratar de bloquear los intentos de explotación configurando un firewall de aplicaciones web (WAF) no es una solución confiable porque hay varias formas de aprovechar el error, "sin construcciones específicas y no eliminables en la solicitud".

Los investigadores de Positive Technologies nos dijeron que desarrollar "un exploit completo es una tarea bastante difícil" si los detalles técnicos no están disponibles. Sin embargo, una vez que se elimina este obstáculo, atacar objetivos vulnerables "es bastante sencillo y sencillo".

Sin embargo, los actores de amenazas no deben ser subestimados. Incluso si les lleva más tiempo encontrar un exploit, los adversarios motivados invertirán el esfuerzo para desarrollarlo.

Las tiendas en línea son un objetivo principal para los piratas informáticos con fines financieros que buscan datos de tarjetas de pago, generalmente capturados por un web skimmer, un script malicioso inyectado en los formularios de pago.

Además, como señaló Adobe en su aviso, algunos actores de amenazas ya están aprovechando CVE-2022-2408 en ataques limitados.

Según las estimaciones de los investigadores, existen más de 17.000 sitios web vulnerables, algunos de ellos de "grandes empresas".

Los investigadores dicen que no tienen planes de publicar el código de explotación de prueba de concepto (PoC) que crearon o compartirlo de forma privada dentro de la industria de la seguridad de la información.

La decisión está motivada principalmente por la cantidad significativa de sitios web que ejecutan productos Adobe Commerce y Magento sin parches.

Se recomienda a los administradores de tiendas en línea que instalen los parches para ambas vulnerabilidades críticas para defenderse de los intentos de explotación.

Acreditados por el segundo error crítico (CVE-2022-24087) están los investigadores Eboda y Blaklis , este último enfatizando que aplicar la primera solución no es suficiente:


Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta