Adobe Magento高危漏洞 CVE-2020-24407、CVE-2020-24400

深信服千里目安全实验室 · 公众号 · · 2020-10-20 18:10

正文

漏洞概要

漏洞名称： Adobe Magento高危漏洞（CVE-2020-24407、CVE-2020-24400）

威胁等级： 高危

影响范围：

Magento Commerce/Open Source <= 2.3.5-p2;

Magento Commerce/Open Source <=2.4.0;

Magento Commerce/Open Source <=2.3.5-p1

漏洞类型：

远程代码执行

SQL注入

漏洞分析

2.1 Adobe Mage nto组件介绍

Magento 是一套专业开源的电子商务系统。Magento设计得非常灵活，具有模块化架构体系和功能。易于与第三方应用系统无缝集成。其面向企业级应用，可处理各方面的需求，以及建设一个多种用途和适用面的电子商务网站。包括购物、航运、产品评论等等，充分利用开源的特性，提供代码库的开发，非常规范的标准，易于与第三方应用系统无缝集成。

2.2 漏洞描述

2020年10月19日，Adobe Security Bulletin发布安全公告，修复了Adobe Magento 组件9个漏洞，其中有两个Critical 漏洞：远程代码执行漏洞（CVE-2020-24407）与SQL注入漏洞（CVE-2020-24400）。

CVE-2020-24407：攻击者在拥有管理特权的情况下，可构造恶意请求，绕过文件上传限制（allow list），从而造成远程代码执行，最终可获取服务器最高权限。

CVE-2020-24400：攻击者在拥有管理特权的情况下，可构造恶意请求，对其数据库进行的查询，进而可获得对数据库的任意读取或写入访问权限。

影响范围

Magento Commerce/Open Source <= 2.3.5-p2;

Magento Commerce/Open Source <=2.4.0;

Magento Commerce/Open Source <=2.3.5-p1

解决方案

4.1修复建议

目前厂商已发布升级补丁修复漏洞，请受影响用户尽快进行升级加固。补丁获取链接：

Magento Commerce 2.4.0 用户升级到 2.4.1 版本：https://devdocs.magento.com/guides/v2.4/release-notes/commerce-2-4-1.html
Magento Commerce 2.3.5 用户升级到 2.3.6 版本：https://devdocs.magento.com/guides/v2.3/release-notes/commerce-2-3-6.html
Magento Open Source 2.4.0 用户升级到 2.4.1 版本：https://devdocs.magento.com/guides/v2.4/release-notes/open-source-2-4-1.html
Magento Open Source 2.3.5 用户升级到 2.3.6 版本：https://devdocs.magento.com/guides/v2.3/release-notes/open-source-2-3-6.html