CVE-2020-24407/24400：Adobe Magento 远程代码执行漏洞通告
0x01 漏洞简述
2020年10月19日，360CERT监测发现 Adobe 发布了 Magento Commerce/Open Source 代码执行漏洞 的风险通告，该漏洞编号为 CVE-2020-24407 & CVE-2020-24400 ，漏洞等级：高危，漏洞评分：8.8。
Adobe 此次更新中发布了两个严重漏洞，六个高危漏洞和一个中危漏洞。
对此，360CERT建议广大用户及时将 Magento Commerce/Open Source 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 360CERT评分 | 8.8 |
0x03 漏洞详情
CVE-2020-24407: 代码执行漏洞
该漏洞源于应用程序使用 allow list 方法检查文件扩展名时未验证完整文件名。未经身份验证(需要有管理特权)的攻击者可以利用此漏洞绕过验证并上传恶意文件。
CVE-2020-24400: SQL注入漏洞
攻击者可以利用它来攻击应用程序对其数据库进行的查询。未经身份验证(需要有管理特权)的攻击者可以利用此漏洞来获得对数据库的任意读取或写入访问权限。
0x04 影响版本
Adobe:Magento Commerce/Open Source: <=2.3.5-p2
-Adobe:Magento Commerce/Open Source: <=2.4.0
Adobe:Magento Commerce/Open Source: <=2.3.5-p1
0x05 修复建议
通用修补建议
Adobe将建议用户将其安装更新为最新版本：
Magento Commerce 2.4.0 用户升级到 2.4.1 版本：https://devdocs.magento.com/guides/v2.4/re...
Magento Commerce 2.3.5 用户升级到 2.3.6 版本：https://devdocs.magento.com/guides/v2.3/re...
Magento Open Source 2.4.0 用户升级到 2.4.1 版本：https://devdocs.magento.com/guides/v2.4/re...
Magento Open Source 2.3.5 用户升级到 2.3.6 版本：https://devdocs.magento.com/guides/v2.3/re...
0x06 产品侧解决方案
360城市级网络安全监测服务
360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。
0x07 时间线
2020-10-15 Adobe发布通告
2020-10-19 360CERT发布通告
0x08 参考链接
1、 Security Updates Available for Magento | APSB20-59
https://helpx.adobe.com/security/products/...
推荐阅读：
1、*CVE-2020-5135：SonicOS缓冲区溢出漏洞通告*
2、*[更新1.0:PoC公开]CVE-2020-16898: Windows TCP/IP远程执行代码漏洞通告*
3、*Shiro & Nexus Repository Manger 2/3 权限验证绕过漏洞通告*
原创： 360CERT
原文链接：https://mp.weixin.qq.com/s/GD9L5Rl5RH_6O-K...
