ID bulletinu
Naposledy aktualizováno
26. 7. 2024
Zveřejnění aktualizace zabezpečení pro aplikaci Adobe Commerce | APSB24-40
|
|
Datum zveřejnění |
Priorita |
|---|---|---|
|
APSB24-40 |
11. červen 2024 |
1 |
Shrnutí
Společnost Adobe vydala aktualizaci zabezpečení pro software Adobe Commerce, Magento Open Source a Adobe Commerce Webhooks Plugin. Tato aktualizace řeší kritické a důležité chyby zabezpečení. Úspěšné zneužití těchto chyb by mohlo vést ke svévolnému spuštění kódu, obcházení bezpečnostních funkcí a zvýšení oprávnění.
Společnost Adobe si je vědoma toho, že chyba CVE-2024-34102 byla v omezené míře zneužita při útocích, které cílily na obchodníky s aplikací Adobe Commerce.
Postižené verze
| Produkt | Verze | Platforma |
|---|---|---|
| Adobe Commerce |
2.4.7 a starší verze 2.4.6-p5 a starší verze 2.4.5-p7 a starší verze 2.4.4-p8 a starší verze 2.4.3-ext-7 a starší verze* 2.4.2-ext-7 a starší verze* |
Vše |
| Magento Open Source | 2.4.7 a starší verze 2.4.6-p5 a starší verze 2.4.5-p7 a starší verze 2.4.4-p8 a starší verze |
Vše |
| Adobe Commerce Webhooks Plugin |
1.2.0 až 1.4.0 |
Ruční instalace zásuvného modulu |
Poznámka: Z důvodu přehlednosti jsou nyní dotčené verze uvedeny pro každý řádek podporovaného vydání namísto pouze nejnovějších verzí.
* Tyto verze platí pouze pro zákazníky, kteří se účastní rozšířeného programu podpory
Řešení
Společnost Adobe označuje tyto aktualizace následujícími hodnoceními priority a doporučuje uživatelům aktualizovat produkt na nejnovější verzi.
| Produkt | Aktualizovaná verze | Platforma | Úroveň priority | Pokyny pro instalaci |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-p1 pro 2.4.7 a starší verze |
Vše |
1 | Poznámky k verzi 2.4.x |
| Magento Open Source |
2.4.7-p1 pro 2.4.7 a starší verze |
Vše |
1 | |
| Adobe Commerce Webhooks Plugin |
1.5.0 | Ruční instalace zásuvného modulu | 1 | Upgrade modulů a rozšíření |
| Adobe Commerce a Magento Open Source | Izolovaná oprava pro CVE-2024-34102: ACSD-60241
Kompatibilní se všemi verzemi platforem Adobe Commerce a Magento Open Source od 2.4.4 do 2.4.7 |
Vše | 1 | Poznámky k verzi pro izolovanou opravu
|
| Poznámka: * Tyto verze platí pouze pro zákazníky, kteří se účastní rozšířeného programu podpory | ||||
Podrobnosti o chybě zabezpečení
| Kategorie chyby zabezpečení | Dopad chyby zabezpečení | Závažnost | Je ke zneužití vyžadováno ověření? | Je ke zneužití nutné mít oprávnění správce? |
Základní hodnocení CVSS |
Vektor CVSS |
Čísla CVE | Poznámky |
|---|---|---|---|---|---|---|---|---|
| Útoky SSRF (Server-Side Request Forgery) (CWE-918) |
Svévolné spuštění kódu |
Kritická | Ano | Ano | 8.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N |
CVE-2024-34111 |
Žádná |
| Nesprávné omezení reference na externí entitu XML („XXE“) (CWE-611) |
Svévolné spuštění kódu |
Kritická | Ne | Ne | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-34102 |
Žádná |
| Nesprávné ověření (CWE-287) |
Zvyšování oprávnění |
Kritická | Ne | Ne | 8.1 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-34103 |
Žádná |
| Neodpovídající ověření totožnosti (CWE-285) |
Obcházení bezpečnostních funkcí |
Kritická |
Ano | Ne | 8.2 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
CVE-2024-34104 |
Žádná |
| Nesprávné ověření vstupu (CWE-20) |
Svévolné spuštění kódu |
Kritická |
Ano |
Ano |
9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2024-34108
|
Adobe Commerce Webhooks Plugin |
| Nesprávné ověření vstupu (CWE-20) |
Svévolné spuštění kódu |
Kritická | Ano |
Ano |
8.0 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2024-34109 | Adobe Commerce Webhooks Plugin |
| Neomezené nahrávání souboru s nebezpečným typem (CWE 434) |
Svévolné spuštění kódu |
Kritická | Ano |
Ano |
8.0 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2024-34110 | Adobe Commerce Webhooks Plugin |
| Skriptování mezi weby (uložený XSS) (CWE-79) |
Svévolné spuštění kódu |
Důležitá | Ano | Ano | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-34105 | Žádná |
| Nesprávné ověření (CWE-287) |
Obcházení bezpečnostních funkcí |
Důležitá | Ano | Ne | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-34106 | Žádná |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Důležitá |
Ne | Ne | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-34107 | Žádná |
Poznámka:
Ke zneužití je vyžadováno ověření: Tuto chybu může (nebo nemůže) zneužít útočník bez přihlašovacích údajů.
Vyžaduje oprávnění správce: Tuto chybu může (nebo nemůže) zneužít pouze útočník s oprávněním správce.
Poděkování
Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:
- wohlie – CVE-2024-34108, CVE-2024-34109, CVE-2024-34110
- T.H. Lassche (thlassche) – CVE-2024-34104, CVE-2024-34107
- spacewasp – CVE-2024-34102
- persata – CVE-2024-34103
- Geluchat (geluchat) – CVE-2024-34105
- Akash Hamal (akashhamal0x01) – CVE-2024-34111
- pranoy_2022 – CVE-2024-34106
POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne soukromý program Bug Bounty, který je k dispozici pouze pro pozvané. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení a chcete vědět, jak dál postupovat, vyplňte tento formulář.
Revize
8. července 2024:
- Priorita upravena na hodnotu 1.
27. června 2024:
- Společnost Adobe zveřejnila izolovanou opravu pro CVE-2024-34102.
26. červen 2024:
- Revidována priorita bulletinu ze 3 na 2. Společnost Adobe si je vědoma, že existuje veřejně dostupný popis týkající se CVE-2024-34102.
- Odebrání nepoužitelných verzí rozšířené podpory s ukončenou životností z tabulek Postižené verze a Verze řešení
Další informace najdete na adrese https://helpx.adobe.com/cz/security.html nebo o ně zažádejte e-mailem na adresu PSIRT@adobe.com.
