San CosmicSting, la puntura che svuotava i negozi

Patrono dei negozi online, delle entità esterne XML e dei cataloghi che leggono più del dovuto.

Vita

Nel giugno 2024 Sansec rivelò una XXE in Adobe Commerce e Magento (CVE-2024-34102): un documento confezionato faceva leggere al negozio file del server, comprese le chiavi segrete, e concatenandola a un vecchio difetto di glibc si arrivava all'esecuzione di codice. Migliaia di negozi furono violati prima che tutti applicassero la patch, e il bug finì nel catalogo delle vulnerabilità sfruttate di CISA.

Preghiera

O San CosmicSting, che pungi i negozi dal cielo delle entità esterne, insegna ai nostri parser a non andare a cercare file lontani. Amen.

Come si festeggia

Si festeggia applicando la patch di Adobe, ruotando le chiavi di cifratura del negozio e controllando di non essere già stati visitati.

Negozio che legge troppo, cliente che paga il doppio.