Adobe Commerce and Magento Open Source の脆弱性（CVE-2022-24086）

何が起きた

ネットショップを作るソフト Adobe Commerce と Magento Open Source で、商品を買うときの手続き（チェックアウト）の中で、受け取った入力を正しく確かめていない弱点が見つかりました。NVD の説明によると、悪用されると任意のコード（攻撃者が好きに選べるプログラム）を実行される可能性があり、利用者の操作は必要ありません。NVD に登録された Adobe の評価では、ネットワーク経由で、ログインなしに悪用できるとされています。CISA によると実際の悪用が確認されており、Adobe も、Adobe Commerce の販売者を狙ったごく限られた攻撃で悪用されたことを把握していると発表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe Commerce や Magento Open Source でネットショップを運営している組織が対象です。Adobe の勧告では、影響を受けるのは 2.4.3-p1 以前と 2.3.7-p2 以前で、2.3.0 から 2.3.3 は影響を受けません。

何をすればいい

Adobe の勧告では、MDVA-43395 のパッチを先に当て、その上に MDVA-43443 のパッチを当てるよう求めています。あわせて、Adobe は最新の版に更新することも勧めています。2.4.3-p1 以前や 2.3.7-p2 以前のまま、パッチを当てていない状態になっていないか確認してください。

やることチェックリスト

• 使っている Commerce や Magento の版を調べる
• MDVA-43395 を当ててから MDVA-43443 を当てる
• Adobe が勧める最新の版への更新を検討する

用語メモ

チェックアウト

ネットショップで、カートの商品を買うために住所や支払い方法を入れて注文を確定する手続きです。

任意のコード 用語集で見る

攻撃者が自由に選んだプログラムのことです。実行されると、機器を乗っ取られるおそれがあります。