Plataforma
php
Componente
magento/community-edition
Corregido en
2.4.2
2.4.1
2.3.7
2.3.6-p1
CVE-2021-21024 describe una vulnerabilidad de inyección SQL ciega en el módulo de búsqueda de Magento Community Edition. La explotación exitosa de esta falla podría permitir a un atacante no autenticado acceder a recursos restringidos dentro de la plataforma. Esta vulnerabilidad afecta a versiones de Magento hasta la 2.3.6, incluyendo las 2.4.1 y 2.4.0-p1. Se recomienda actualizar a la versión 2.3.6-p1 para solucionar el problema.
La inyección SQL ciega permite a un atacante manipular consultas SQL sin recibir una respuesta directa de la base de datos. En el contexto de Magento, esto podría traducirse en la extracción de información sensible, como credenciales de usuario, datos de clientes o información de productos. Un atacante con acceso al panel de administración podría utilizar esta vulnerabilidad para realizar modificaciones no autorizadas en la base de datos, comprometiendo la integridad de la plataforma y la confidencialidad de los datos. La falta de una respuesta directa dificulta la detección, pero la explotación persistente puede revelar información valiosa. Esta vulnerabilidad es similar en concepto a otras inyecciones SQL ciegas, pero su impacto específico depende de la configuración y los datos almacenados en la base de datos de Magento.
CVE-2021-21024 fue publicado el 24 de mayo de 2022. No se ha añadido a la lista KEV de CISA, pero la severidad CRÍTICA indica un alto riesgo. Aunque no se han reportado campañas de explotación activas a gran escala, la naturaleza de la inyección SQL ciega hace que la vulnerabilidad sea susceptible a ataques automatizados. La disponibilidad de herramientas y técnicas para la explotación de inyecciones SQL ciegas aumenta la probabilidad de que esta vulnerabilidad sea explotada en el futuro.
Organizations running Magento Community Edition versions 2.3.6 and earlier, particularly those with publicly accessible admin consoles and inadequate security measures, are at significant risk. Shared hosting environments utilizing Magento are also vulnerable, as they may lack control over the underlying server configuration and patching process.
• php / server:
find /var/www/html -name 'app/code/Magento/Search/Model/Adapter/Mysql.php' -exec grep -i 'query(' {} + | grep -i 'SELECT' • php / server:
journalctl -u php-fpm -f | grep -i "SQL injection"• generic web:
curl -I https://your-magento-site.com/search?q=' OR 1=1 --silent | grep -i '200 OK'discovery
disclosure
patch
Estado del Exploit
EPSS
2.07% (84% percentil)
Vector CVSS
La mitigación principal para CVE-2021-21024 es actualizar a la versión 2.3.6-p1 de Magento Community Edition. Si la actualización inmediata no es posible, se recomienda restringir el acceso al panel de administración a usuarios autorizados y monitorear los registros de la base de datos en busca de actividades sospechosas. Implementar reglas en un firewall de aplicaciones web (WAF) para filtrar consultas SQL potencialmente maliciosas puede proporcionar una capa adicional de protección. Además, revisar y endurecer la configuración de la base de datos, incluyendo la aplicación de contraseñas seguras y la limitación de los privilegios de los usuarios, puede reducir el impacto potencial de una explotación exitosa. Después de la actualización, confirme la mitigación revisando los registros del servidor y realizando pruebas de penetración en el módulo de búsqueda.
Actualice Magento Commerce a la última versión disponible. Consulte el aviso de seguridad de Adobe para obtener más detalles e instrucciones específicas sobre la actualización.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2021-21024 is a critical SQL injection vulnerability affecting Magento Community Edition versions up to 2.3.6, allowing unauthorized access with admin privileges.
You are affected if you are running Magento Community Edition versions 2.4.1 and earlier, 2.4.0-p1 and earlier, or 2.3.6 and earlier. Check your version and upgrade immediately.
Upgrade to Magento Community Edition version 2.3.6-p1 or later. Implement WAF rules and restrict admin console access as temporary mitigations.
While no confirmed active campaigns are publicly known, the vulnerability's severity and available PoCs make it a likely target for exploitation.
Refer to the official Magento security advisory at https://dev.classmethod.com/en/2021/12/16/magento-2-4-1-security-vulnerability-sql-injection/
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.