⬇ Scarica il santino: ·
San CosmicSting, la puntura che svuotava i negozi
Patrono dei negozi online, delle entità esterne XML e dei cataloghi che leggono più del dovuto.
Vita
Nel giugno 2024 Sansec rivelò una XXE in Adobe Commerce e Magento (CVE-2024-34102): un documento confezionato faceva leggere al negozio file del server, comprese le chiavi segrete, e concatenandola a un vecchio difetto di glibc si arrivava all'esecuzione di codice. Migliaia di negozi furono violati prima che tutti applicassero la patch, e il bug finì nel catalogo delle vulnerabilità sfruttate di CISA.
Preghiera
O San CosmicSting, che pungi i negozi dal cielo delle entità esterne, insegna ai nostri parser a non andare a cercare file lontani. Amen.
Come si festeggia
Si festeggia applicando la patch di Adobe, ruotando le chiavi di cifratura del negozio e controllando di non essere già stati visitati.
Negozio che legge troppo, cliente che paga il doppio.