Bollettino sulla sicurezza di Adobe

Aggiornamenti di sicurezza disponibili per Adobe Commerce | APSB21-64

ID bollettino

Data di pubblicazione

Priorità

APSB21-64

11 agosto 2021      

2

Riepilogo

Magento ha rilasciato aggiornamenti per le versioni Adobe Commerce e Magento Open Source. Questi aggiornamenti risolvono vulnerabilità Importanti e Critiche. Un eventuale sfruttamento potrebbe provocare l'esecuzione di codice arbitrario.       

Versioni interessate

Prodotto Versione Piattaforma
Adobe Commerce
2.4.2 e versioni precedenti  
Tutte
2.4.2-p1 e versioni precedenti  
Tutte
2.3.7 e versioni precedenti 
Tutte
Magento Open Source 

2.4.2-p1 e versioni precedenti
Tutte
2.3.7 e versioni precedenti   
Tutte

Soluzione

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente.

Prodotto Versione aggiornata Piattaforma Livello di priorità Note sul rilascio
Adobe Commerce
2.4.3  
Tutte
2

Note sulla versione 2.4.x

Note sulla versione 2.3.x

2.4.2-p2
Tutte
2
2.3.7-p1
Tutte
2
Magento Open Source 
2.4.3  
Tutte
2
2.4.2-p2
Tutte 2
2.3.7-p1 
Tutte
2

Dettagli della vulnerabilità

Categoria della vulnerabilità Impatto della vulnerabilità Gravità Pre-autenticazione? Sono necessari i privilegi di amministratore?

Punteggio base CVSS
Vettore CVSS
Magento Bug ID Codici CVE
Errori di logica aziendale (CWE-840)

Aggiramento della funzione di sicurezza

 Importante

no

6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

 PRODSECBUG-2934

CVE-2021-36012

Vulnerabilità cross-site scripting (memorizzate XSS) (CWE-79)

Esecuzione di codice arbitrario

Importante

no

no

6.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

PRODSECBUG-2963

PRODSECBUG-2964

CVE-2021-36026

CVE-2021-36027

 

Controllo di accesso non corretto (CWE-284)

Esecuzione di codice arbitrario

Critica

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

PRODSECBUG-2977

CVE-2021-36036

Autorizzazione impropria (CWE-285)

Aggiramento della funzione di sicurezza

Critica

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

PRODSECBUG-2968

CVE-2021-36029

Autorizzazione impropria (CWE-285)

Aggiramento della funzione di sicurezza

Importante

no

no

6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

PRODSECBUG-2980

CVE-2021-36037

Convalida dell'input non corretta (CWE-20)

Rifiuto di utilizzo dell'applicazione

Critica

No

no

7,5

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

PRODSECBUG-3004

CVE-2021-36044

Convalida dell'input non corretta (CWE-20)

Acquisizione illecita di privilegi

Critica

no

8.3

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

PRODSECBUG-2971

CVE-2021-36032

Convalida dell'input non corretta (CWE-20)

Aggiramento della funzione di sicurezza

Critica

no

no

7,5

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

 PRODSECBUG-2969

CVE-2021-36030

Convalida dell'input non corretta (CWE-20)

Aggiramento della funzione di sicurezza

Importante

no

no

6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

PRODSECBUG-2982

CVE-2021-36038

Convalida dell'input non corretta (CWE-20)

Esecuzione di codice arbitrario

Critica

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

 PRODSECBUG-2959

 PRODSECBUG-2960

 PRODSECBUG-2962

PRODSECBUG-2975

PRODSECBUG-2976

PRODSECBUG-2987

PRODSECBUG-2988

PRODSECBUG-2992

CVE-2021-36021

CVE-2021-36024

CVE-2021-36025

CVE-2021-36034

CVE-2021-36035

CVE-2021-36040

CVE-2021-36041

CVE-2021-36042

Path traversal

(CWE-22)

Esecuzione di codice arbitrario

Critica

7,2

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

PRODSECBUG-2970

CVE-2021-36031

Iniezione dei comandi del sistema operativo (CWE-78)

Esecuzione di codice arbitrario

Critica

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

PRODSECBUG-2958

PRODSECBUG-2960

CVE-2021-36022

CVE-2021-36023

Autorizzazione errata (CWE-863)

Lettura di file system arbitraria

Importante

no

6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

PRODSECBUG-2984

CVE-2021-36039

Server-side request forgery (SSRF)

(CWE-918)

Esecuzione di codice arbitrario

Critica

8

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

PRODSECBUG-2996

CVE-2021-36043

XML injection

(alias iniezione XPath cieca) (CWE-91)

Esecuzione di codice arbitrario

Critica

no

no

8.2

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

PRODSECBUG-2937

CVE-2021-36020

XML injection

(alias iniezione XPath cieca) (CWE-91)

Esecuzione di codice arbitrario

Critica

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

 PRODSECBUG-2965

PRODSECBUG-2972

CVE-2021-36028

CVE-2021-36033

Nota:

Pre-autenticazione: la vulnerabilità è sfruttabile senza credenziali.   

Privilegi di amministratore richiesti: la vulnerabilità è sfruttabile solo da un aggressore con privilegi amministrativi.  

Ringraziamenti

Adobe desidera ringraziare le persone indicate di seguito per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:   

  • Blaklis (CVE-2021-36023, CVE-2021-36026, CVE-2021-36027, CVE-2021-36036, CVE-2021-36029, CVE-2021-36021, CVE-2021-36024, CVE-2021-36025, CVE-2021-36034, CVE-2021-36035, CVE-2021-36031)
  • Igorsdv (CVE-2021-36012)
  • Zb3 (CVE-2021-36037, CVE-2021-36032, CVE-2021-36038, CVE-2021-36040, CVE-2021-36041, CVE-2021-36042, CVE-2021-36039, CVE-2021-36043, CVE-2021-36033, CVE-2021-36028)
  • Dftrace (CVE-2021-36044)
  • Floorz (CVE-2021-36030)
  • Eboda (CVE-2021-36022)
  • Trivani Pant, per conto di Broadway Photo Supply Limited (CVE-2021-36020)

 

Revisioni

13 agosto 2021: è stato aggiornato il commercio Magento/Magento Commerce con Adobe Commerce. 

 


Per ulteriori informazioni, visitare il sito https://helpx.adobe.com/security.html o inviare un'e-mail a PSIRT@adobe.com.

 Adobe

Ottieni supporto in modo più facile e veloce

Nuovo utente?

Adobe MAX 2024

Adobe MAX
La conferenza sulla creatività

14-16 ottobre Miami Beach e online

Adobe MAX

La conferenza sulla creatività

14-16 ottobre Miami Beach e online

Adobe MAX 2024

Adobe MAX
La conferenza sulla creatività

14-16 ottobre Miami Beach e online

Adobe MAX

La conferenza sulla creatività

14-16 ottobre Miami Beach e online