Uwaga właściciele Magento – jest nowa absolutnie krytyczna luka (możliwia przejęcie całego serwera). CVE-2022-24087. Łatajcie.

Raptem kilka dni temu donosiliśmy:

Trwa exploitacja Magento. Ultra krytyczna luka pozwala na przejmowanie sklepów/serwerów bez konieczności logowania się.

Adobe wypuściło łatki. Ale okazuje się, że łatki nie były chyba do końca skuteczne. 17. lutego 2022 pojawiła się aktualizacja:

In order to stay up to date with the latest protections, customers must apply two patches: MDVA-43395 patch first, and then MDVA-43443 on top of it. 

Dla pewności, nowa łatka nie łata jakichś drobiazgów, ponownie mamy lukę umożliwiającą wykonywanie kodu/poleceń po stronie serwera (RCE). Do wykorzystania luki niepotrzebne jest posiadanie konta. A skala ryzyka (CVSSv3) wynosi 9.8/10.

~Michał Sajdak