ID bulletinu
Naposledy aktualizováno
23. 10. 2024
Zveřejnění aktualizace zabezpečení pro aplikaci Adobe Commerce | APSB24-73
|
|
Datum zveřejnění |
Priorita |
|---|---|---|
|
APSB24-73 |
8. října 2024 |
2 |
Shrnutí
Společnost Adobe vydala aktualizaci zabezpečení pro software Adobe Commerce a Magento Open Source. Tato aktualizace řeší kritické, důležité a střední chyby zabezpečení. Úspěšné zneužití by mohlo vést ke svévolnému spuštění kódu, nahodilému čtení souborového systému, obcházení bezpečnostních funkcí a zvýšení oprávnění.
Společnost Adobe neví o žádném zneužití chyb vyřešených v těchto aktualizací v reálném prostředí.
Postižené verze
| Produkt | Verze | Platforma |
|---|---|---|
| Adobe Commerce |
2.4.7-p2 a starší verze 2.4.6-p7 a starší verze 2.4.5-p9 a starší verze 2.4.4-p10 a starší verze |
Vše |
| Adobe Commerce B2B |
1.4.2-p2 a starší verze 1.3.5-p7 a starší verze 1.3.4-p9 a starší verze 1.3.3-p10 a starší verze |
Vše |
| Magento Open Source | 2.4.7-p2 a starší verze 2.4.6-p7 a starší verze 2.4.5-p9 a starší verze 2.4.4-p10 a starší verze |
Vše |
Poznámka: Z důvodu přehlednosti jsou nyní dotčené verze uvedeny pro každý řádek podporovaného vydání namísto pouze nejnovějších verzí.
Řešení
Společnost Adobe označuje tyto aktualizace následujícími hodnoceními priority a doporučuje uživatelům aktualizovat produkt na nejnovější verzi.
| Produkt | Aktualizovaná verze | Platforma | Úroveň priority | Pokyny pro instalaci |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-p3 pro 2.4.7-p2 a starší verze |
Vše |
3 |
|
| Adobe Commerce B2B |
1.4.2-p3 pro 1.4.2-p2 a starší verze 1.3.5-p8 pro 1.3.5-p7 a starší verze 1.3.4-p10 pro 1.3.4-p9 a starší verze 1.3.3-p11 pro 1.3.3-p10 a starší verze |
Vše | 2 | |
| Adobe Commerce B2B |
Izolovaná oprava pro CVE-2024-45115 Kompatibilní se všemi verzemi aplikace Adobe Commerce B2B od 1.3.3 do 1.4.2 |
Vše | 2 | |
| Magento Open Source |
2.4.7-p3 pro 2.4.7-p2 a starší verze |
Vše |
3 |
Podrobnosti o chybě zabezpečení
| Kategorie chyby zabezpečení | Dopad chyby zabezpečení | Závažnost | Je ke zneužití vyžadováno ověření? | Je ke zneužití nutné mít oprávnění správce? |
Základní hodnocení CVSS |
Vektor CVSS |
Čísla CVE | Poznámky |
|---|---|---|---|---|---|---|---|---|
| Nesprávné ověření (CWE-287) |
Eskalace oprávnění |
Kritická |
Ne | Ne | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45115 | Platí pouze pro verzi B2B |
| Nesprávné ověření (CWE-287) |
Obcházení bezpečnostních funkcí |
Kritická | Ne | Ne | 8.8 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45148 |
Platí pouze pro verzi B2B |
| Skriptování mezi weby (uložený XSS) (CWE-79) |
Svévolné spuštění kódu |
Kritická | Ano | Ano | 8.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-45116 | |
| Nesprávné ověření vstupu (CWE-20) |
Svévolné čtení systému souborů |
Kritická |
Ano | Ano | 7.6 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L |
CVE-2024-45117 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Důležitá | Ano | Ano | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
CVE-2024-45118 | |
| Útoky SSRF (Server-Side Request Forgery) (CWE-918) |
Svévolné čtení systému souborů |
Důležitá | Ano | Ano | 5.5 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N |
CVE-2024-45119 | |
| Souběh typu TOCTOU (Time-of-check Time-of-use) (CWE-367) |
Obcházení bezpečnostních funkcí | Střední | Ano | Ne | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-45120 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Střední | Ano | Ano | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45121 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Střední |
Ano | Ano | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45122 | |
| Skriptování mezi weby (uložený XSS) (CWE-79) |
Svévolné spuštění kódu |
Kritická | Ano | Ano | 6.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45123 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Důležitá | Ano | Ne | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45124 | |
| Nesprávná autorizace (CWE-863) |
Obcházení bezpečnostních funkcí |
Střední | Ano | Ano | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45125 | |
| Skriptování mezi weby (uložený XSS) (CWE-79) |
Svévolné spuštění kódu |
Kritická | Ano | Ano | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45127 | |
| Neodpovídající ověření totožnosti (CWE-285) |
Obcházení bezpečnostních funkcí |
Důležitá | Ano | Ano | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
CVE-2024-45128 | |
| Nesprávné řízení přístupu (CWE-284) |
Zvyšování oprávnění |
Střední | Ano | Ano | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45129 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Střední | Ano | Ano | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45130 | |
| Neodpovídající ověření totožnosti (CWE-285) |
Obcházení bezpečnostních funkcí |
Důležitá | Ano | Ano | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
CVE-2024-45131 | |
| Neodpovídající ověření totožnosti (CWE-285) |
Zvyšování oprávnění |
Důležitá | Ano | Ano | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-45132 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Střední | Ano | Ano | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45133 | |
| Expozice informací (CWE-200) |
Obcházení bezpečnostních funkcí |
Střední | Ano | Ano | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45134 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Střední | Ano | Ne | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45135 | |
| Nesprávné řízení přístupu (CWE-284) |
Obcházení bezpečnostních funkcí |
Střední |
Ano | Ano | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45149 |
Poznámka:
Ke zneužití je vyžadováno ověření: Tuto chybu může (nebo nemůže) zneužít útočník bez přihlašovacích údajů.
Vyžaduje oprávnění správce: Tuto chybu může (nebo nemůže) zneužít pouze útočník s oprávněním správce.
Poděkování
Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:
- Akash Hamal (akashhamal0x01) – CVE-2024-45118, CVE-2024-45120, CVE-2024-45121, CVE-2024-45122, CVE-2024-45128, CVE-2024-45129, CVE-2024-45130, CVE-2024-45131, CVE-2024-45132
- Blaklis (blaklis) – CVE-2024-45115, CVE-2024-45123, CVE-2024-45133, CVE-2024-45134, CVE-2024-45135, CVE-2024-45148, CVE-2024-45149
- wohlie – CVE-2024-45117
- Javier Corral (corraldev) – CVE-2024-45116
- truff – CVE-2024-45119
- Prashant Bhattarai (g0ndaar) – CVE-2024-45124
- n1nj4sec – CVE-2024-45125
- Tara Owens (tmoh4kr) – CVE-2024-45127
POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne soukromý program Bug Bounty, který je k dispozici pouze pro pozvané. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení a chcete vědět, jak dál postupovat, vyplňte tento formulář.
Další informace najdete na adrese https://helpx.adobe.com/cz/security.html nebo o ně zažádejte e-mailem na adresu PSIRT@adobe.com.
