ID do boletim
Última atualização em
4 de mai de 2021
|
Também é aplicável a Digital Editions
Atualizações de segurança disponíveis para o Magento| APSB20-22
|
|
Data de publicação |
Prioridade |
|---|---|---|
|
ASPB20-22 |
28 de abril de 2020 |
2 |
Resumo
O Magento lançou atualizações para as edições Magento Commerce e Open Source. Essas atualizações resolvem vulnerabilidades classificadas como Críticas, Importantes e Moderadas (classificações de severidade). A exploração bem-sucedida poderia levar a uma execução de código arbitrária.
Versões afetadas
|
Produto |
Versão |
Plataforma |
|---|---|---|
|
Magento Commerce |
2.3.4 e versões anteriores |
Todos |
|
Magento Open Source |
2.3.4 e versões anteriores |
Todos |
|
Magento Commerce |
2.2.11 e versões anteriores (ver nota) |
Todos |
|
Magento Open Source |
2.2.11 e versões anteriores (ver nota) |
Todos |
|
Magento Enterprise Edition |
1.14.4.4 e versões anteriores |
Todos |
|
Magento Community Edition |
1.9.4.4 e versões anteriores |
Todos |
Observação:
O Magento 2.2x chegou ao fim do suporte em 31 de dezembro de 2019.
Solução
A Adobe categoriza essas atualizações com as seguintes classificações de prioridade e recomenda que os usuários atualizem suas instalações para a versão mais recente.
|
Produto |
Versão |
Plataforma |
Classificação de prioridade |
Disponibilidade |
|---|---|---|---|---|
|
Magento Commerce |
2.3.4-p2 |
Todos |
2 |
|
|
Magento Open Source |
2.3.4-p2 |
Todos |
2 |
|
|
Magento Commerce |
2.3.5-p1 |
Todos |
2 |
|
|
Magento Open Source |
2.3.5-p1 |
Todos |
2 |
|
|
Magento Enterprise Edition |
1.14.4.5 |
Todos |
2 |
|
|
Magento Community Edition |
1.9.4.5 |
Todos |
2 |
Observação:
O Magento Commerce 2.2.12 está disponível exclusivamente para suporte estendido a clientes do Commerce.
Detalhes da vulnerabilidade
Observação:
1. O CVE-2020-9585 é mitigado em instalações padrão
2. CVE-2020-9591 afeta exclusivamente o Magento 1
Observação:
Pré-autenticação: a vulnerabilidade é explorável sem credenciais.
Privilégios de administrador necessários: a vulnerabilidade só pode ser explorada por um invasor com privilégios administrativos.
Agradecimentos
A Adobe gostaria de agradecer às seguintes pessoas e organizações por relatar problemas relevantes e por trabalhar com a Adobe para ajudar a proteger nossos clientes:
- Blaklis (CVE-2020-9576, CVE-2020-9579, CVE-2020-9581, CVE-2020-9582, CVE-2020-9583, CVE-2020-9584)
- Flatmoon (CVE-2020-9577)
- Y0natan (CVE-2020-9578)
- Edgar Boda-Majer (CVE-2020-9580)
- Qubitz (CVE-2020-9585)
- Magnusg (CVE-2020-9587)
- Wasin Sae-ngow (CVE-2020-9588)
- Max Chadwick (CVE-2020-9630)
Revisões
4 de maio de 2020: agradecimentos de CVE-2020-9586 removidos.
7 de maio de 2020: CVE-2020-9630 adicionado, que havia sido omitido inadvertidamente da versão original.
12 de maio de 2020: CVE-2020-9631 e CVE-2020-9632 adicionados, que haviam sido omitidos inadvertidamente da versão original.
