Bulletin-ID
Sidst opdateret den
26. aug. 2024
Sikkerhedsopdatering til Adobe Commerce | APSB24-61
|
|
Udgivelsesdato |
Prioritet |
|---|---|---|
|
APSB24-61 |
13. august 2024 |
3 |
Resumé
Adobe har frigivet en sikkerhedsopdatering til Adobe Commerce og Magento Open Source. Denne opdatering løser kritiske, vigtige og moderate sikkerhedsproblemer. Udnyttelse af denne sikkerhedsbrist kan medføre eksekvering af skadelig kode, læseadgang til systemfiler, omgåelse af sikkerhedsfunktioner og eskalering af brugerrettigheder.
Berørte versioner
| Produkt | Version | Platform |
|---|---|---|
| Adobe Commerce |
2.4.7-p1 og tidligere 2.4.6-p6 og tidligere 2.4.5-p8 og tidligere 2.4.4-p9 og tidligere |
Alle |
| Magento Open Source | 2.4.7-p1 og tidligere 2.4.6-p6 og tidligere 2.4.5-p8 og tidligere 2.4.4-p9 og tidligere |
Alle |
Bemærk: For overskuelighedens skyld er de berørte versioner nu angivet for den understøttede versionsrække i stedet for kun den nyeste version.
Løsning
Adobe kategoriserer disse opdateringer med følgende prioritetsgrader og anbefaler, at brugere opdaterer deres installationer til de nyeste versioner.
| Produkt | Opdateret version | Platform | Prioritetsgrad | Installationsvejledning |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-p2 for 2.4.7-p1 og tidligere |
Alle |
3 | 2.4.x Produktbemærkninger |
| Magento Open Source |
2.4.7-p2 for 2.4.7-p1 og tidligere |
Alle |
3 | |
| Adobe Commerce og Magento Open Source | Specifik patch til CVE-2024-39397
Kompatibel med alle Adobe Commerce- og Magento Open Source-versioner fra 2.4.4 til 2.4.7 |
Alle | 3 | Produktbemærkninger til den specifikke patch til CVE-2024-39397
|
Sikkerhedsoplysninger
| Sikkerhedskategori | Virkning af sikkerhedsproblem | Alvorlighed | Kræver det autentifikation at udnytte sikkerhedshullet? | Kræver det administratorrettigheder at udnytte sikkerhedshullet? |
CVSS-basisscore |
CVSS-vektor |
CVE-nummer/numre | Noter |
|---|---|---|---|---|---|---|---|---|
| Ubegrænset upload af fil med farlig type (CWE-434) |
Vilkårlig kodekørsel |
Kritisk |
Nej | Nej | 9.0 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2024-39397 | Dette påvirker kun brugere af Apache-webserver |
| Ukorrekt begrænsning af for mange godkendelsesforsøg (CWE-307) |
Sikkerhedsomgåelse |
Kritisk |
Ja | Ja | 7.4 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
CVE-2024-39398 | |
| Ukorrekt begrænsning af et stinavn til et begrænset bibliotek ('stioverskridelse') (CWE-22) |
Vilkårlig filsystem-læsning |
Kritisk |
Ja | Ja | 7.7 | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N |
CVE-2024-39399 | |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Kritisk |
Ja | Ja | 8.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-39400 | |
| Ukorrekt neutralisering af særlige elementer, der bruges i en OS-kommando ('OS Command Injection') (CWE-78) |
Vilkårlig kodekørsel |
Kritisk |
Ja | Ja | 8.4 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
CVE-2024-39401 | |
| Ukorrekt neutralisering af særlige elementer, der bruges i en OS-kommando ('OS Command Injection') (CWE-78) |
Vilkårlig kodekørsel |
Kritisk |
Ja | Ja | 8.4 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H | CVE-2024-39402 | |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Kritisk |
Ja | Ja | 7.6 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N |
CVE-2024-39403 | |
| Afsløring af oplysninger (CWE-200) |
Sikkerhedsomgåelse |
Vigtigt | Ja | Ja | 6.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N |
CVE-2024-39406 | |
| Ukorrekt adgangskontrol (CWE-284) |
Eskalering af rettigheder |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-39404 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-39405 | |
| Ugyldig autorisation (CWE-863) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-39407 | |
| Cross-Site Request Forgery (CSRF) (CWE-352) |
Sikkerhedsomgåelse |
Moderat | Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-39408 | |
| Cross-Site Request Forgery (CSRF) (CWE-352) |
Sikkerhedsomgåelse |
Moderat | Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-39409 | |
| Cross-Site Request Forgery (CSRF) (CWE-352) |
Sikkerhedsomgåelse |
Moderat | Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-39410 | |
| Ukorrekt adgangskontrol (CWE-284) |
Eskalering af rettigheder |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-39411 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-39412 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-39413 | |
| Ukorrekt adgangskontrol (CWE-284) |
Eskalering af rettigheder |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-39414 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-39415 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N | CVE-2024-39416 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-39417 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N | CVE-2024-39418 | |
| Ukorrekt adgangskontrol (CWE-284) |
Eskalering af rettigheder |
Moderat | Ja | Ja | 4.3 | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-39419 |
Bemærk:
Autentifikation er påkrævet for at udnytte: Sårbarheden kan (eller kan ikke) udnyttes uden legitimationsoplysninger.
Kræver administratorrettigheder: Sårbarheden kan (eller kan ikke) kun udnyttes, hvis angriberen har administratorrettigheder.
Tak til følgende personer
Adobe vil gerne takke følgende researchere at rapportere disse sikkerhedsproblemer og for at samarbejde med Adobe for at beskytte vores kunder:
- Akash Hamal (akashhamal0x01) – CVE-2024-39404, CVE-2024-39405, CVE-2024-39407, CVE-2024-39411, CVE-2024-39412, CVE-2024-39413, CVE-2024-39414, CVE-2024-39415, CVE-2024-39416, CVE-2024-39417, CVE-2024-39418, CVE-2024-39419
- wohlie – CVE-2024-39401, CVE-2024-39402, CVE-2024-39403
- Javier Corral (corraldev) – CVE-2024-39398, CVE-2024-39400
- Alexandrio (alexandrio) – CVE-2024-39408, CVE-2024-39409
- Blaklis (blaklis) – CVE-2024-39406, CVE-2024-39410
- T.H. Lassche (thlassche) – CVE-2024-39397
- Icare (icare) – CVE-2024-39399
BEMÆRK: Adobe har et privat bug bounty-program med HackerOne, som kun er åbent for inviterede. Hvis du er interesseret i at arbejde med Adobe som ekstern sikkerhedsforsker, kan du udfylde denne formular for de næste trin.
Du kan få yderligere oplysninger på https://helpx.adobe.com/dk/security.html eller ved at skrive til PSIRT@adobe.com.
