Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Aggiornamento di sicurezza per Magento

È stato rilasciato un importante aggiornamento di sicurezza per la piattaforma di e-commerce Magento che risolve diverse vulnerabilità di cui cinque di gravità elevata. Se sfruttate con successo, le più gravi di queste vulnerabilità potrebbero consentire l’esecuzione di codice arbitrario nel contesto dell’applicazione affetta, con conseguente potenziale compromissione totale del sito Web.

Dettagli delle vulnerabilità (in Inglese):

  • [Medium] Unsanitized input leading to denial of service
  • [Medium] Stored XSS in Product Descriptions
  • [Medium] Stored XSS in Visual Merchandiser
  • [High] Remote Code Execution by leveraging unsafe unserialization
  • Fix WSDL based patching to work with SOAP V1
  • [High] Remote Code Execution through Config Manipulation
  • [Medium] Stored XSS in CMS Page Area
  • [High] Remote Code Execution in CMS Page Area
  • [Medium] Stored XSS in Billing Agreements
  • [High] PHP Object Injection in product attributes leading to Remote Code Execution
  • [High] PHP Object Injection in product entries leading to Remote Code Execution

Risultano variamente affette da queste vulnerabilità le seguenti versioni di Magento:

  • Magento Open Source versioni precedenti la 1.9.3.7
  • Magento Commerce versioni precedenti la 1.14.3.7
  • Magento 2.0 versioni precedenti la 2.0.17
  • Magento 2.1 versioni precedenti la 2.1.10
  • Magento 2.2

Per risolvere queste vulnerabilità è necessario applicare la patch SUPEE-10415 o aggiornare Magento ad una delle seguenti versioni:

  • Magento Open Source 1.9.3.7
  • Magento Commerce 1.14.3.7
  • Magento 2.0.17
  • Magento 2.1.10
  • Magento 2.2.1

Vista la gravità delle vulnerabilità oggetto dell’aggiornamento, si raccomanda a tutti i gestori di siti Web che utilizzano Magento di consultare l’avviso di sicurezza del produttore e di aggiornare con urgenza la propria piattaforma. Si consiglia di testare la nuova versione in un ambiente di sviluppo prima di installarla su un sito in esercizio.

Si noti che questo aggiornamento integra quello già pubblicato dal Magento Security Team il 7 novembre 2017. La patch (SUPEE-10415) e le versioni aggiornate di Magento sono le stesse, mentre la lista delle vulnerabilità risolte è solo parzialmente sovrapposta.

Notizie correlate

Vulnerabilità in prodotti Cisco (1 agosto 2018)

2 agosto 2018

Cisco ha rilasciato il primo agosto 2018 diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in diversi prodotti. Leggi tutto

Vulnerabilità in Apache Tomcat

24 luglio 2018

Sono state scoperte due gravi vulnerabilità in Apache Tomcat che potrebbero consentire ad un attaccante remoto di causare condizioni di DoS o di ottenere informazioni riservate.Leggi tutto

Vulnerabilità multiple in PHP

23 luglio 2018

Sono state scoperte diverse vulnerabilità in PHP 5 e 7 che potrebbero consentire ad un attaccante remoto di eseguire codice arbitrario nel contesto dell’applicazione affetta o di causare condizioni di denial of service.Leggi tutto