Bulletin-ID
Zuletzt aktualisiert am
23. Oktober 2024
Sicherheits-Update für Adobe Commerce verfügbar| APSB24-73
|
|
Veröffentlichungsdatum |
Priorität |
|---|---|---|
|
APSB24-73 |
8. Oktober 2024 |
2 |
Zusammenfassung
Adobe hat ein Sicherheitsupdate für Adobe Commerce und Magento Open Source veröffentlicht. Dieses Update behebt mehrere kritische, wichtige und moderate Schwachstellen. Ein erfolgreiches Ausnutzen könnte zu willkürlicher Codeausführung, zur Umgehung von Sicherheitsfunktionen und zur Berechtigungsausweitung führen.
Adobe sind keine Fälle bekannt, in denen die in diesen Updates behobenen Sicherheitslücken ausgenutzt wurden.
Betroffene Versionen
| Produkt | Version | Plattform |
|---|---|---|
| Adobe Commerce |
2.4.7-p2 und früher 2.4.6-p7 und früher 2.4.5-p9 und früher 2.4.4-p10 und früher |
Alle |
| Adobe Commerce B2B |
1.4.2-p2 und früher 1.3.5-p7 und früher 1.3.4-p9 und früher 1.3.3-p10 und früher |
Alle |
| Magento Open Source | 2.4.7-p2 und früher 2.4.6-p7 und früher 2.4.5-p9 und früher 2.4.4-p10 und früher |
Alle |
Hinweis: Aus Gründen der Übersichtlichkeit werden die betroffenen Versionen nun für jede unterstützte Versionslinie aufgelistet und nicht mehr nur die neuesten Versionen.
Lösung
Adobe empfiehlt allen Anwendern die Installation der neuesten Version und stuft die Prioritäten dieser Updates wie folgt ein.
| Produkt | Aktualisierte Version | Plattform | Priorität | Installationsanweisungen |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-p3 für 2.4.7-p2 und früher |
Alle |
3 |
|
| Adobe Commerce B2B |
1.4.2-p3 für 1.4.2-p2 und früher 1.3.5-p8 für 1.3.5-p7 und früher 1.3.4-p10 für 1.3.4-p9 und früher 1.3.3-p11 für 1.3.3-p10 und früher |
Alle | 2 | |
| Adobe Commerce B2B |
Isolierter Patch für CVE-2024-45115 Kompatibel mit allen Versionen von Adobe Commerce B2B zwischen 1.3.3 und 1.4.2 |
Alle | 2 | |
| Magento Open Source |
2.4.7-p3 für 2.4.7-p2 und früher |
Alle |
3 |
Sicherheitslückendetails
| Sicherheitslückenkategorie | Sicherheitslückenauswirkung | Problemstufe | Exploit erfordert Authentifizierung? | Exploit erfordert Admin-Rechte? |
CVSS-Basispunktzahl |
CVSS-Vektor |
CVE-Nummern(n) | Anmerkungen |
|---|---|---|---|---|---|---|---|---|
| Unzulässige Authentifizierung (CWE-287) |
Berechtigungsausweitung |
Kritisch |
Nein | Nein | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45115 | Gilt nur für B2B-Edition |
| Unzulässige Authentifizierung (CWE-287) |
Umgehung der Sicherheitsfunktionen |
Kritisch | Nein | Nein | 8.8 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45148 |
Gilt nur für B2B-Edition |
| Cross-Site-Scripting (beständiges XSS) (CWE-79) |
Willkürliche Ausführung von Code |
Kritisch | Ja | Ja | 8.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-45116 | |
| Unangemessene Eingabevalidierung (CWE-20) |
Willkürlicher Dateisystem-Lesezugriff |
Kritisch |
Ja | Ja | 7.6 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L |
CVE-2024-45117 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Wichtig | Ja | Ja | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
CVE-2024-45118 | |
| Server-Side Request Forgery (SSRF) (CWE-918) |
Willkürlicher Dateisystem-Lesezugriff |
Wichtig | Ja | Ja | 5.5 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N |
CVE-2024-45119 | |
| Time-of-check Time-of-use (TOCTOU) Wettlaufsituation (CWE-367) |
Umgehung der Sicherheitsfunktionen | Mittel | Ja | Nein | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-45120 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Mittel | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45121 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Mittel |
Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45122 | |
| Cross-Site-Scripting (beständiges XSS) (CWE-79) |
Willkürliche Ausführung von Code |
Kritisch | Ja | Ja | 6.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45123 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Wichtig | Ja | Nein | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45124 | |
| Unzulässige Autorisierung (CWE-863) |
Umgehung der Sicherheitsfunktionen |
Mittel | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45125 | |
| Cross-Site-Scripting (beständiges XSS) (CWE-79) |
Willkürliche Ausführung von Code |
Kritisch | Ja | Ja | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45127 | |
| Unzulässige Autorisierung (CWE-285) |
Umgehung der Sicherheitsfunktionen |
Wichtig | Ja | Ja | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
CVE-2024-45128 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Berechtigungsausweitung |
Mittel | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45129 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Mittel | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45130 | |
| Unzulässige Autorisierung (CWE-285) |
Umgehung der Sicherheitsfunktionen |
Wichtig | Ja | Ja | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
CVE-2024-45131 | |
| Unzulässige Autorisierung (CWE-285) |
Berechtigungsausweitung |
Wichtig | Ja | Ja | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-45132 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Mittel | Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45133 | |
| Informationsexposition (CWE-200) |
Umgehung der Sicherheitsfunktionen |
Mittel | Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45134 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Mittel | Ja | Nein | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45135 | |
| Unzulässige Zugriffskontrolle (CWE-284) |
Umgehung der Sicherheitsfunktionen |
Mittel |
Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45149 |
Hinweis:
Zum Ausnutzen ist eine Authentifizierung erforderlich: Die Schwachstelle kann ohne Anmeldeinformationen ausgenutzt werden (bzw. nicht ausgenutzt werden).
Erfordert Administratorrechte: Die Schwachstelle ist (oder ist nicht) nur von einem Angreifer mit Administratorrechten ausnutzbar.
Danksagung
Adobe bedankt sich bei den folgenden Forschern, die diese Probleme gemeldet haben und mit Adobe zusammenarbeiten, um unsere Kunden zu schützen:
- Akash Hamal (akashhamal0x01) – CVE-2024-45118, CVE-2024-45120, CVE-2024-45121, CVE-2024-45122, CVE-2024-45128, CVE-2024-45129, CVE-2024-45130, CVE-2024-45131, CVE-2024-45132
- Blaklis (blaklis) – CVE-2024-45115, CVE-2024-45123, CVE-2024-45133, CVE-2024-45134, CVE-2024-45135, CVE-2024-45148, CVE-2024-45149
- wohlie – CVE-2024-45117
- Javier Corral (corraldev) – CVE-2024-45116
- truff - CVE-2024-45119
- Prashant Bhattarai (g0ndaar) – CVE-2024-45124
- n1nj4sec – CVE-2024-45125
- Tara Owens (tmoh4kr) – CVE-2024-45127
HINWEIS: Adobe hat ein privates, nur für Einladungen bestimmtes Bug-Bounty-Programm mit HackerOne. Wenn Sie an einer Zusammenarbeit mit Adobe als externer Sicherheitsforscher interessiert sind, füllen Sie bitte dieses Formular aus, um die nächsten Schritte einzuleiten.
Weitere Informationen gibt es unter https://helpx.adobe.com/de/security.html oder per E-Mail an PSIRT@adobe.com.
