Bulletin-ID
Sidst opdateret den
26. jun. 2023
Sikkerhedsopdatering er tilgængelig til Adobe Commerce | APSB23-35
|
|
Udgivelsesdato |
Prioritet |
|---|---|---|
|
APSB23-35 |
13. juni 2023 |
3 |
Resumé
Berørte versioner
| Produkt | Version | Platform |
|---|---|---|
| Adobe Commerce |
2.4.6 og tidligere 2.4.5-p2 og tidligere 2.4.4-p3 og tidligere 2.4.3-ext-2 og tidligere* 2.4.2-ext-2 og tidligere* 2.4.1-ext-2 og tidligere* 2.4.0-ext-2 og tidligere* 2.3.7-p4-ext-2 og tidligere* |
Alle |
| Magento Open Source | 2.4.6 og tidligere 2.4.5-p2 og tidligere 2.4.4-p3 og tidligere |
Alle |
Bemærk: For overskuelighedens skyld er de berørte versioner nu angivet for hver udgivelseslinje i stedet for kun de nyeste versioner.
* Disse versioner gælder kun for kunder, der deltager i det udvidede supportprogram Udvidet supportprogram
Løsning
Adobe kategoriserer disse opdateringer med følgende prioritetsgrader og anbefaler, at brugere opdaterer deres installationer til de nyeste versioner.
| Produkt | Opdateret version | Platform | Prioritetsgrad | Installationsvejledning |
|---|---|---|---|---|
| Adobe Commerce |
2.4.6-p1 til 2.4.6 og tidligere 2.4.4-p4 til 2.4.4-p3 og tidligere |
Alle |
3 | 2.4.x Produktbemærkninger |
| Magento Open Source |
2.4.6-p1 til 2.4.6 og tidligere 2.4.5-p3 til 2.4.5-p2 og tidligere 2.4.4-p4 til 2.4.4-p3 og tidligere |
Alle |
3 | |
| Bemærk: * Disse versioner gælder kun for kunder, der deltager i det udvidede supportprogram Udvidet supportprogram | ||||
Sikkerhedsoplysninger
| Sikkerhedskategori | Virkning af sikkerhedsproblem | Alvorlighed | Kræver det autentifikation at udnytte sikkerhedshullet? | Kræver det administratorrettigheder at udnytte sikkerhedshullet? |
CVSS-basisscore |
CVSS-vektor |
CVE-nummer/numre |
|---|---|---|---|---|---|---|---|
| Afsløring af oplysninger (CWE-200) |
Sikkerhedsomgåelse |
Vigtigt | Nej | Nej | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2023-29287 |
| Ukorrekt autorisation (CWE-863) |
Sikkerhedsomgåelse |
Moderat | Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2023-29288 |
| XML-injektion (også kendt som blind XPath-injektion) (CWE-91) |
Sikkerhedsomgåelse |
Vigtigt | Ja | Ja | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-29289 |
| Manglende understøttelse af integritetskontrol (CWE-353) |
Sikkerhedsomgåelse |
Vigtigt | Nej | Nej | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
CVE-2023-29290 |
| Forfalskning af anmodninger på serversiden (SSRF) (CWE-918) |
Sikkerhedsomgåelse |
Vigtigt | Ja | Ja | 4.9 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-29291 |
| Forfalskning af anmodninger på serversiden (SSRF) (CWE-918) |
Vilkårlig filsystem-læsning |
Vigtigt | Ja | Ja | 4.9 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-29292 |
| Ukorrekt input-validering (CWE-20) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L |
CVE-2023-29293 |
| Business Logic-fejl (CWE-840) |
Sikkerhedsomgåelse |
Moderat | Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2023-29294 |
| Ukorrekt autorisation (CWE-863) |
Sikkerhedsomgåelse |
Moderat |
Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2023-29295 |
| Ukorrekt autorisation (CWE-863) |
Sikkerhedsomgåelse |
Moderat | Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2023-29296 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Kritisk | Ja | Ja | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2023-29297 |
| Ukorrekt autorisation (CWE-863) |
Sikkerhedsomgåelse |
Kritisk |
Nej | Nej | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-22248 |
Bemærk:
Autentifikation er påkrævet for at udnytte: Sårbarheden kan (eller kan ikke) udnyttes uden legitimationsoplysninger.
Kræver administratorrettigheder: Sårbarheden kan (eller kan ikke) kun udnyttes, hvis angriberen har administratorrettigheder.
Tak til følgende personer
Adobe vil gerne takke følgende researchere at rapportere disse sikkerhedsproblemer og for at samarbejde med Adobe for at beskytte vores kunder:
- Aliefis Galih (aliefis) - CVE-2023-29289, CVE-2023-29294, CVE-2023-29295
- Sebastien Cantos (truff) - CVE-2023-29291, CVE-2023-29292
- Pieter Zandbergen (pmzandbergen) - CVE-2023-29290
- Tomasz Gregorczyk (silpion) - CVE-2023-29293
- Blaklis (blaklis) - CVE-2023-29297
- Kunal Pandey (kunal94) - CVE-2023-22248
BEMÆRK: Adobe har et privat bug bounty-program med HackerOne, som kun er åbent for inviterede. Hvis du er interesseret i at arbejde med Adobe som ekstern sikkerhedsforsker, kan du udfylde denne formular for de næste trin.
Du kan få yderligere oplysninger på https://helpx.adobe.com/dk/security.html eller ved at skrive til PSIRT@adobe.com.
