Magento 2.1.9、2.0.16アップデートでは、XSS、CSRF、不正データ漏洩、店舗管理者/オペレーターからの保護など、多くのパッチが提供されました。
Magento 1.x、1.9.3.6、1.14.3.6のアップデートも受信しました。
簡単にするために、悪い管理者/オペレーター-Odminと呼びます。
更新：注文された商品に関するデータの漏洩がどのように発生するかの説明を追加しました。
クリティカル（1）
APPSEC-1800：CMSおよびレイアウトのリモートコード実行の脆弱性
文字通り：Odminはサーバーで実行されるコードを書くことができます。 これはすべて、コード実行を呼び出すことができるレイアウトのおかげです。 むかしむかし、Magento 1.xでこのような構成を記述して、製品ページのファイルの内容を表示することができました。 ほとんどの場合、非常によく似たものが使用されるか、一部のブロックで「有害なパラメーター」を設定できます。
高リスク（3）
APPSEC-1887 Odminは読む価値のないものを読むことができました。
APPSEC-1850 Odminは非常に重要なものを削除し、ストアを停止する可能性があります
APPSEC-1851 RCE Odminは悪意のあるコードを実行する可能性がありますが、その結果は想像できます。
中リスク（29）
APPSEC-1567買い手はいくつかにアクセスした後に注文データを取得できますが、Cookieを作成する必要があります。
APPSEC-1769 Odminは間違った場所にサイトマップを書き込むことができました
APPSEC-1713システムリンクに関する重要なデータを取得できます
APPSEC-1852 XSSおよびCSRF OdminはXSSおよびCSRFを配置できました
APPSEC-1482 「not there」を送信する機能
APPSEC-1502 XSS Odminは、商品の種類に名前を付けることができます
APPSEC-1494 XSSサーバーとニュースxmlの間に誰かが自分のxmlを挿入した場合。
APPSEC-1793 CRE Nginxを搭載したサーバーの場合、ファイルをアップロードして実行できます
APPSEC-1819有効期限が切れていないクライアントセッションのキャプチャ
APPSEC-1802 CSRFはクライアントアカウント管理をキャプチャできます
APPSEC-1493 XSSページのタイトルにコードを入力できました
APPSEC-1755 CSRFクライアントがログインした後に何かをすることが可能でした
APPSEC-1853 XSSおよびCSRF Odminは配布モジュールに追加できます
APPSEC-1729 XSS Odminは注文ステータスの名前にコードを追加できました
APPSEC-1591 XSS Odminは製品写真に問題を引き起こす可能性があります
APPSEC-1896 XSS Odminは、悪意のあるコードを順番に並べる可能性があります
APPSEC-1673 SVGファビコン経由のXSS Odminによる問題のスロー
APPSEC-1773 DoS Odminは、作成時にページIDを指定して、新規作成を不可能にすることができました
APPSEC-1577 XSS Odminは統合をアクティブ化するときにコードを追加できました
APPSEC-1510限られた権利を持つOdminがファビコンを置き換える可能性がある
APPSEC-1545 XSS Odminはクライアントフィールドにコードを書き込むことができます
APPSEC-1535 Odminは、テーブルでの迅速な編集により値を編集できました。
APPSEC-1588ペストは、チェックアウト中に以前のすべての注文のデータを「マージ」できました
APPSEC-1701 APIセッションの再利用の可能性
APPSEC-1630システム更新のステータスを知ることができました
APPSEC-1628サーバー上の絶対パスの取得
APPSEC-1599ブラウザが自動置換管理パネルのログインを使用しようとする
低リスク（2）
APPSEC-1709管理者のメールを取得できました
APPSEC-1495表示権なしで注文フィールドを編集
興味深い攻撃
興味深いのは、Magento 1.xに従って解決できることです。
APPSEC-1793 nginxは戦闘システムで非常に頻繁に使用されます。
APPSEC-1588競合他社から購入した商品の
注文明細の識別子を使用して、先に注文の明細識別子を使用して商品をカートに追加しようとすると、商品が追加されます。
これは時間、順序、または日付を与えるものではありませんが、Xの瞬間からストアを「モニター」し始めると、Xの瞬間から顧客が購入したものに関するデータを収集できます。そのようなデータを収集するには、定期的にシステムをポーリングする必要があります。
時間Xで、最後に注文した製品の識別子を見つける必要があります。 商品が削除されていない場合は、店舗のベストセラー製品のデータベースを収集することもできます。
終わる代わりに
35の脆弱性のうち18-ストア管理者が独立して損害を与えた場合の内部からの攻撃
代理店とモジュールサプライヤー
Odminが来ないように、デモスタンドを更新する価値があります。
店主
1.管理者のリストを確認して、管理者の間にOdminがいないようにします。
2.競合他社
→ ソース
パッチはGithubで表示できます： 2.015-2.0.16および2.1.8-2.1.9
更新：注文された商品に関するデータの漏洩がどのように発生するかの説明を追加しました。