SUPEE 9767

06/06/2017

O Magento lança o SUPEE 9767. Esse Patch corrigi várias falhas no sistema: execução remota de código, vazamento de informações e scripts entre sites.

Versões Afetadas

Esse bug afeta as versões Magento Community Edition (CE): 1.5.0.1 – 1.9.3.2.

 

Falhas Encontradas:

  1. Execução Remota de Código se o Symlink estiver habilitadoO uso da opção AllowSymlinks nas configurações pode permitir o upload de uma imagem que contenha códigos maliciosos. Embora esta opção esteja desativada por padrão, um invasor com acesso às configurações de configuração da loja pode habilitá-lo e executar o código remotamente.
  2. Execução Remota de Código no DataFlow: Os administradores Magento com acesso à funcionalidade DataFlow podem usá-lo para carregar e executar código arbitrário.
  3. Execução Remota de Código no painel admin: Os administradores da loja com acesso à funcionalidade CMS podem executar o código de forma remota.
  4. XSS em campos de dados: Algumas tabelas Admin não filtram dados, o que fornece uma abertura inadvertida para ataques de scripts maliciosos.
  5. XSS na configuração do admin: Um administrador do Magento com acesso às configurações pode inserir códigos maliciosos que podem ser executados em outras páginas do painel do administrador.
  6. CSRF após logout – form key não invalidado: O Magento não invalida as chaves de formulário no logout, o que potencialmente permite que um invasor execute comandos como administrador após o administrador sair.

 

Instalando

Para instalação do SUPEE 9767, acessei o link https://magento.com/tech-resources/download e faça o download para a versão do Magento que utiliza.

Caso tenha dúvida no processo de instalação, veja o artigo Instalando patch no Magento.

 

Arquivos corrigidos pelo SUPEE 9767

 

Nota: nem todas as falhas corrigidas pelo SUPEE 9767 foram relatadas neste post. Caso queira maiores informações, clique aqui.

 

Um abraço.

Nenhum Comentário

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *