BDU:2024-06819

Высокий

BDU:2024-06819: Уязвимость программных платформ для разработки и управления онлайн магазинами Magento Open Source и Adobe Commerce, связанная с недостаточным ограничением попыток аутентификации, позволяющая нарушителю обойти ограничения безопасности и выполнить атаку методом «грубой силы» (brute force)

CVSS v37.4

CVSS v27.1

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программных платформ для разработки и управления онлайн магазинами Magento Open Source и Adobe Commerce связана с недостаточным ограничением попыток аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности и выполнить атаку методом «грубой силы» (brute force)

Что делать с BDU:2024-06819

Высокая уязвимость (CVSS 7.4) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

7.4Высокий

Пересчитать →

7.1

Только просмотр

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:NAV:N/AC:H/Au:N/C:C/I:C/A:N

CWE — тип уязвимости

CWE-307

CVE — международный идентификатор

CVE-2024-39398

APSB24-61

Тактики и техники

Нарушение аутентификации

Уязвимое ПО (8)

Вендор	Название	Версия	Платформа
Adobe Systems Inc.	Adobe Commerce	от 2.4.7 до 2.4.7-p1 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	от 2.4.6 до 2.4.6-p6 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	от 2.4.5 до 2.4.5-p8 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	до 2.4.4-p9 включительно	Не указана
Adobe Systems Inc.	Magento Open Source	до 2.4.4-p9 включительно	Не указана
Adobe Systems Inc.	Magento Open Source	от 2.4.5 до 2.4.5-p8 включительно	Не указана
Adobe Systems Inc.	Magento Open Source	от 2.4.6 до 2.4.6-p6 включительно	Не указана
Adobe Systems Inc.	Magento Open Source	от 2.4.7 до 2.4.7-p1 включительно	Не указана

Источники (1)

https://helpx.adobe.com/security/products/magento/apsb24-61.html

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.4

Уточните SLA под вашу среду

Базовый балл 7.4 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.9%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2024-08-13

Опубликована

2024-09-11

Обновлена

2024-09-11

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2024-39398 MITRE: CWE-307 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК