Boletim de segurança da Adobe

Atualizações de segurança disponíveis para o Magento | APSB20-59

ID do boletim

Data de publicação

Prioridade

APSB20-59

15 de outubro de 2020      

2

Resumo

A Magento lançou atualizações para o Magento Commerce e o Magento Open Source. Essas atualizações resolvem vulnerabilidades de classificação Importante e Crítica. A exploração bem-sucedida poderia levar a uma execução de código arbitrária.    

Versões afetadas

Produto

Versão

Plataforma

Magento Commerce 

2.3.5-p1 e versões anteriores  

Todos

Magento Commerce 

2.3.5-p2 e versões anteriores  

Todos

Magento Commerce 

2.4.0 e versões anteriores 

Todos

Magento Open Source 

2.3.5-p1 e versões anteriores

Todos

Magento Open Source 

2.3.5-p2 e versões anteriores

Todos

Magento Open Source 

2.4.0 e versões anteriores 

Todos

Solução

A Adobe categoriza essas atualizações com as seguintes classificações de prioridade e recomenda que os usuários atualizem suas instalações para a versão mais recente.

Produto

Versão atualizada

Plataforma

Classificação de prioridade

Notas de versão

Magento Commerce 

2.4.1

Todos

2

Magento Open Source 

2.4.1

Todos

2

 

 

 

 

 

Magento Commerce 

2.3.6

Todos

2

Magento Open Source 

2.3.6

Todos

2

Detalhes da vulnerabilidade

Categoria da vulnerabilidade

Impacto da vulnerabilidade

Severidade

Pré-autenticação?

Privilégios de administrador necessários?

ID de Bug do Magento

Números CVE

Ignorar lista de permissões de upload de arquivos

Execução de código arbitrária 

Crítico 

Não

Sim

PRODSECBUG-2799

CVE-2020-24407

Injeção SQL

Acesso arbitrário de leitura ou gravação ao banco de dados

Crítico 

Não

Sim

PRODSECBUG-2779

CVE-2020-24400

Autorização indevida

Modificação não autorizada da lista de clientes

Importante

Não

Sim

PRODSECBUG-2789

CVE-2020-24402

Invalidação insuficiente da sessão do usuário

Acesso não autorizado a recursos restritos

Importante

Não

Sim

PRODSECBUG-2785

CVE-2020-24401

Autorização indevida

Modificação não autorizada de páginas do Magento CMS

Importante

Não

Sim

PRODSECBUG-2796

CVE-2020-24404

Divulgação de informações confidenciais

Divulgação do caminho raiz do documento

Moderado

Não

Sim

PRODSECBUG-2798

CVE-2020-24406

Criação de script entre sites (XSS armazenado)

Execução arbitrária de JavaScript no navegador

Importante

Sim

Não

PRODSECBUG-2804

CVE-2020-24408

Autorização indevida

Acesso não autorizado a recursos restritos

Importante

Não

Sim

PRODSECBUG-2797

CVE-2020-24405

Autorização indevida

Acesso não autorizado a recursos restritos

Importante

Não

Sim

PRODSECBUG-2791

CVE-2020-24403

Observação:

Pré-autenticação: a vulnerabilidade é explorável sem credenciais.   

Privilégios de administrador necessários: a vulnerabilidade só pode ser explorada por um invasor com privilégios administrativos.  

Descrições técnicas adicionais dos CVE mencionados neste documento serão disponibilizadas nos sites de MITRE e NVD.

Atualizações das dependências

Dependência

Impacto da vulnerabilidade

Versões afetadas

Upload de arquivo jQuery

Execução de código arbitrária 

2.4.0 e versões anteriores 

TinyMCE

Execução arbitrária de JavaScript

2.4.0 e versões anteriores 

Agradecimentos

A Adobe gostaria de agradecer às seguintes pessoas por relatar os problemas relevantes e por trabalhar com a Adobe para ajudar a proteger os nossos clientes:   

  • Edgar Boda – Diretor da Bugscale (CVE-2020-24408) 
  • Kien Hoang (CVE-2020-24402, CVE-2020-24401, CVE-2020-24404, CVE-2020-24405)
  • Ihorsv (CVE-2020-24406) 
  • Malerisch (CVE-2020-24407)
  • Dang Toan (CVE-2020-24403)
  • Yonatan Offek (CVE-2020-24400)

 Adobe

Receba ajuda com mais rapidez e facilidade

Novo usuário?

Adobe MAX 2024

Adobe MAX:
a conferência da criatividade

14 a 16 de outubro, Miami Beach e online

Adobe MAX

A conferência da criatividade

14 a 16 de outubro, Miami Beach e online

Adobe MAX 2024

Adobe MAX:
a conferência da criatividade

14 a 16 de outubro, Miami Beach e online

Adobe MAX

A conferência da criatividade

14 a 16 de outubro, Miami Beach e online