最近の脆弱性 › CVE-2022-24086
Adobe Commerce and Magento Open Source の脆弱性（CVE-2022-24086）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2022-24086 |
|---|---|
| 製品 | Adobe Commerce and Magento Open Source |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-02-15 |
| 米国政府機関の対応期限 | 2022-03-01 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20 |
何が起きた
ネットショップを作るソフト Adobe Commerce と Magento Open Source で、商品を買うときの手続き（チェックアウト）の中で、受け取った入力を正しく確かめていない弱点が見つかりました。NVD の説明によると、悪用されると任意のコード（攻撃者が好きに選べるプログラム）を実行される可能性があり、利用者の操作は必要ありません。NVD の評価では、ネットワーク経由で、ログインなしに悪用できるとされています。CISA によると、実際の悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Adobe Commerce や Magento Open Source でネットショップを運営している組織が対象です。NVD の説明では、影響を受けるのは 2.4.3-p1 以前と 2.3.7-p2 以前です。修正版の番号は、このデータからは不明です。
何をすればいい
メーカー（Adobe）の公式の案内を確認し、案内に従って更新や修正を当ててください。2.4.3-p1 以前や 2.3.7-p2 以前のままになっていないか確認してください。
やることチェックリスト
- 使っている Commerce や Magento の版を調べる
- Adobe の案内に従って更新や修正を当てる
- 2.4.3-p1 以前や 2.3.7-p2 以前を使い続けない
用語メモ
- チェックアウト
- ネットショップで、カートの商品を買うために住所や支払い方法を入れて注文を確定する手続きです。
- 任意のコード
- 攻撃者が自由に選んだプログラムのことです。実行されると、機器を乗っ取られるおそれがあります。
元データ（英語・CISA KEV より）
Adobe Commerce and Magento Open Source Improper Input Validation Vulnerability
概要
Adobe Commerce and Magento Open Source contain an improper input validation vulnerability which can allow for arbitrary code execution.
推奨対応
Apply updates per vendor instructions.