S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 28 juin 2018
N° CERTFR-2018-AVI-311
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Magento

Gestion du document

Référence CERTFR-2018-AVI-311
Titre Multiples vulnérabilités dans Magento
Date de la première version28 juin 2018
Date de la dernière version28 juin 2018
Source(s) Bulletin de sécurité Magento 2.2.5 et 2.1.14 du 27 juin 2018
Bulletin de sécurité Magento SUPEE-10752 du 27 juin 2018
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)
  • Injection de requêtes illégitimes par rebond (CSRF)
  • Élévation de privilèges

Systèmes affectés

  • Magento 2.1 versions antérieures à 2.1.15
  • Magento 2.2 versions antérieures à 2.2.6
  • Magento Commerce versions antérieures à 1.14.3.9
  • Magento Open Source versions antérieures à 1.9.3.9

Résumé

De multiples vulnérabilités ont été découvertes dans Magento. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 28 juin 2018
    Version initiale