ID bulletinu
Naposledy aktualizováno
23. 10. 2023
Zveřejnění aktualizace zabezpečení pro aplikaci Adobe Commerce | APSB23-50
|
|
Datum zveřejnění |
Priorita |
|---|---|---|
|
APSB23-50 |
10. října 2023 |
3 |
Shrnutí
Společnost Adobe vydala aktualizaci zabezpečení pro software Adobe Commerce a Magento Open Source. Tato aktualizace řeší kritické a důležité chyby zabezpečení. Úspěšné zneužití těchto chyb by mohlo vést ke svévolnému spouštění kódu, zvyšování oprávnění, svévolnému čtení systému souborů, obcházení bezpečnostních funkcí a útokům DoS na aplikace.
Postižené verze
| Produkt | Verze | Platforma |
|---|---|---|
| Adobe Commerce |
2.4.7-beta1 a starší 2.4.6-p2 a starší 2.4.5-p4 a starší 2.4.4-p5 a starší 2.4.3-ext-4 a starší* 2.4.2-ext-4 a starší* 2.4.1-ext-4 a starší* 2.4.0-ext-4 a starší* 2.3.7-p4-ext-4 a starší* |
Vše |
| Magento Open Source | 2.4.7-beta1 a starší 2.4.6-p2 a starší 2.4.5-p4 a starší 2.4.4-p5 a starší |
Vše |
Poznámka: Z důvodu přehlednosti jsou nyní dotčené verze uvedeny pro každý řádek vydání namísto pouze nejnovějších verzí.
* Tyto verze platí pouze pro zákazníky, kteří se účastní rozšířeného programu podpory
Řešení
Společnost Adobe označuje tyto aktualizace následujícími hodnoceními priority a doporučuje uživatelům aktualizovat produkt na nejnovější verzi.
| Produkt | Aktualizovaná verze | Platforma | Úroveň priority | Pokyny pro instalaci |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-beta2 pro verzi 2.4.7-beta1 a starší |
Vše |
3 | Poznámky k verzi 2.4.x |
| Magento Open Source |
2.4.7-beta2 pro verzi 2.4.7-beta1 a starší |
Vše |
3 | |
| Poznámka: * Tyto verze platí pouze pro zákazníky, kteří se účastní rozšířeného programu podpory | ||||
Podrobnosti o chybě zabezpečení
| Kategorie chyby zabezpečení | Dopad chyby zabezpečení | Závažnost | Je ke zneužití vyžadováno ověření? | Je ke zneužití nutné mít oprávnění správce? |
Základní hodnocení CVSS |
Vektor CVSS |
Čísla CVE |
|---|---|---|---|---|---|---|---|
| Nesprávné ověření vstupu (CWE-20) |
Zvyšování oprávnění |
Kritická | Ne | Ne | 8.8 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-38218 |
| Skriptování mezi weby (uložený XSS) (CWE-79) |
Zvyšování oprávnění |
Kritická | Ano | Ano | 8.4 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
CVE-2023-38219 |
| Neodpovídající ověření totožnosti (CWE-285) |
Obcházení bezpečnostních funkcí |
Kritická | Ano | Ne | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-38220 |
| Nesprávná neutralizace speciálních prvků použitých v příkazu SQL („injekce příkazu SQL“) (CWE-89) |
Svévolné spuštění kódu |
Kritická | Ano | Ano | 8.0 | CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2023-38221 |
| Nesprávná neutralizace speciálních prvků použitých v příkazu SQL („injekce příkazu SQL“) (CWE-89) |
Svévolné spuštění kódu |
Kritická | Ano | Ano | 8.0 | CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2023-38249 |
| Nesprávná neutralizace speciálních prvků použitých v příkazu SQL („injekce příkazu SQL“) (CWE-89) |
Svévolné spuštění kódu |
Kritická | Ano | Ano | 8.0 | CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2023-38250 |
| Expozice informací (CWE-200) |
Svévolné spuštění kódu |
Kritická |
Ano | Ano | 7.6 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L |
CVE-2023-26367 |
| Nekontrolované využívání prostředků (CWE-400) |
Útoky DoS na aplikace |
Důležitá | Ne | Ne | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
CVE-2023-38251 |
| Útoky SSRF (Server-Side Request Forgery) (CWE-918) |
Svévolné čtení systému souborů |
Důležitá |
Ano | Ano | 6.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N |
CVE-2023-26366 |
Aktualizace závislostí
| CVE | Závislost |
Dopad chyby zabezpečení |
Postižené verze |
| CVE-2021-41182 |
jQuery |
Svévolné spuštění kódu |
Adobe Commerce 2.4.6-p2, 2.4.5-p4, 2.4.4-p5, 2.4.7-beta1 a starší |
Poznámka:
Ke zneužití je vyžadováno ověření: Tuto chybu může (nebo nemůže) zneužít útočník bez přihlašovacích údajů.
Vyžaduje oprávnění správce: Tuto chybu může (nebo nemůže) zneužít pouze útočník s oprávněním správce.
Poděkování
Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:
- wohlie – CVE-2023-38220, CVE-2023-38221, CVE-2023-38249, CVE-2023-38250, CVE-2023-38251, CVE-2023-26367
- Blaklis – CVE-2023-38219
- fqdn – CVE-2023-38218
- Sebastien Cantos (truff) – CVE-2023-26366
POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne soukromý program Bug Bounty, který je k dispozici pouze pro pozvané. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení a chcete vědět, jak dál postupovat, vyplňte tento formulář.
Revize
13. října 2023: Odebráno CVE-2023-26368, protože se jedná o závislost knihovny jQuery třetí strany.
Další informace najdete na adrese https://helpx.adobe.com/cz/security.html nebo o ně zažádejte e-mailem na adresu PSIRT@adobe.com.
