Durante la pasada semana Adobe anunció una vulnerabilidad crítica que afecta a Adobe Commerce y Magento Open Source. La primera alerta se recibió a finales de enero. Y el domingo 13 de febrero, Adobe ya lanzaba los parches necesarios para resolver el problema. Expertos independientes en seguridad, como Willem de Groot, director gerente y fundador del medio especialista en seguridad de Magento, Sansec, han señalado que se han tomado las medidas para implementar una solución más rápido de lo normal.
Uno de los detalles más importantes de esta vulnerabilidad consiste en que no se necesita autenticación para ejecutar con éxito una explotación exitosa. Esto quiere decir que un atacante no necesita adquirir un privilegio de inicio de sesión de usuario para explotar la vulnerabilidad.
Otro detalle destacado de este exploit es que los privilegios de administrador no son necesarios para explotar esta vulnerabilidad.
Calificaciones de vulnerabilidad de Adobe
Adobe publicó tres métricas de calificación para vulnerabilidades:
- Sistema de puntuación de vulnerabilidad común (CVSS)
- Prioridad
- Nivel de vulnerabilidad
Sistema de puntuación de vulnerabilidad común (CVSS)
El Sistema de puntuación de vulnerabilidad común (CVSS) es un estándar abierto desarrollado por una organización sin fines de lucro (First.org) que se basa en una escala del 1 al 10 para calificar las vulnerabilidades.
Una puntuación de uno es la menos preocupante y una puntuación de diez es el nivel más alto de gravedad de una vulnerabilidad.
La puntuación CVSS para esta vulnerabilidad de Adobe Commerce y Magento es de 9,8.
Nivel de prioridad de vulnerabilidad
La métrica de prioridad tiene tres niveles, 1, 2 y 3. El nivel 1 es el más grave y el nivel tres es el menos grave.
Adobe ha enumerado el nivel de prioridad de este exploit como 1, que es el nivel más alto.
El nivel de prioridad de nivel 1 significa que las vulnerabilidades se están explotando activamente en los sitios web. Este es el peor de los casos para los eCommerce. Significa que las instancias sin parches de Adobe Commerce y Magento son vulnerables a ser pirateadas.
Nivel de vulnerabilidad
Los niveles de vulnerabilidad de Adobe son moderado, importante y crítico, siendo crítico el nivel más peligroso.
El nivel de vulnerabilidad asignado al exploit de código abierto de Adobe Commerce y Magento se clasifica como crítico.
La definición de Adobe del nivel de calificación crítico es:
«Una vulnerabilidad que, si se explota, permitiría la ejecución de código nativo malicioso, potencialmente sin que el usuario lo sepa».
Explotación de ejecución de código arbitrario
Lo que hace que esta vulnerabilidad sea especialmente preocupante es el hecho de que Adobe admitió que es una vulnerabilidad de ejecución de código arbitrario.
La ejecución de código arbitrario generalmente significa que el tipo de código que puede ejecutar un atacante no tiene un alcance limitado, sino que está abierto a prácticamente cualquier código que desee para ejecutar casi cualquier tarea o comando que desee.
Una vulnerabilidad de ejecución de código arbitrario es un tipo de ataque muy grave.
Qué versiones se ven afectadas
Adobe ha indicado que las versiones 2.3.3 y anteriores de Adobe Commerce no están afectadas. Y ha publicado un parche de actualización para corregir las versiones afectadas de su software. En la nota de actualización, Adobe indicaba:
“Se han probado parches para resolver el problema en todas las versiones desde la 2.3.3-p1 hasta la 2.3.7-p2 y desde la 2.4.0 hasta la 2.4.3-p1”.
Adobe recomienda que los usuarios del software afectado actualicen sus instalaciones inmediatamente.
Por lo tanto, las versiones afectadas son los productos y versiones de Adobe Commerce y Magento Open Source 2.3.3-p1 – 2.3.7-p2 y 2.4.0 – 2.4.3-p1. En el siguiente enlace están disponible todos los parches para las diferentes versiones.
El gestor de contenidos más estable
Si por algo destacan el valor de los CMS de Adobe es por su estabilidad y su poca propensión a las vulnerabilidades. De hecho, tenemos a retrotaernos a 2015 para encontrar un problema similar con Magento, cuando se produjo la vulnerabilidad conocida como Magento Shoplift.