Bulletin-ID
Sidst opdateret den
23. okt. 2024
Sikkerhedsopdatering tilgængelig til Adobe Commerce | APSB24-73
|
|
Udgivelsesdato |
Prioritet |
|---|---|---|
|
APSB24-73 |
8. oktober 2024 |
2 |
Resumé
Adobe har frigivet en sikkerhedsopdatering til Adobe Commerce og Magento Open Source. Denne opdatering løser kritiske, vigtige og moderate sikkerhedsproblemer. Udnyttelse af denne sikkerhedsbrist kan medføre eksekvering af skadelig kode, læseadgang til systemfiler, omgåelse af sikkerhedsfunktioner og eskalering af brugerrettigheder.
Adobe er ikke bekendt med, at der skulle være exploits i omløb for nogen af de problemer, der behandles i disse opdateringer.
Berørte versioner
| Produkt | Version | Platform |
|---|---|---|
| Adobe Commerce |
2.4.7-p2 og tidligere 2.4.6-p7 og tidligere 2.4.5-p9 og tidligere 2.4.4-p10 og tidligere |
Alle |
| Adobe Commerce B2B |
1.4.2-p2 og tidligere 1.3.5-p7 og tidligere 1.3.4-p9 og tidligere 1.3.3-p10 og tidligere |
Alle |
| Magento Open Source | 2.4.7-p2 og tidligere 2.4.6-p7 og tidligere 2.4.5-p9 og tidligere 2.4.4-p10 og tidligere |
Alle |
Bemærk: For overskuelighedens skyld er de berørte versioner nu angivet for den understøttede versionsrække i stedet for kun den nyeste version.
Løsning
Adobe kategoriserer disse opdateringer med følgende prioritetsgrader og anbefaler, at brugere opdaterer deres installationer til de nyeste versioner.
| Produkt | Opdateret version | Platform | Prioritetsgrad | Installationsvejledning |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-p3 for 2.4.7-p2 og tidligere |
Alle |
3 |
Produktbemærkninger til den specifikke patch til CVE-2024-45115 |
| Adobe Commerce B2B |
1.4.2-p3 for 1.4.2-p2 og tidligere 1.3.5-p8 for 1.3.5-p7 og tidligere 1.3.4-p10 for 1.3.4-p9 og tidligere 1.3.3-p11 for 1.3.3-p10 og tidligere |
Alle | 2 | |
| Adobe Commerce B2B |
Specifik patch til CVE-2024-45115 Kompatibel med alle Adobe Commerce B2B-versioner fra 1.3.3 - 1.4.2 |
Alle | 2 | |
| Magento Open Source |
2.4.7-p3 for 2.4.7-p2 og tidligere |
Alle |
3 |
Sikkerhedsoplysninger
| Sikkerhedskategori | Virkning af sikkerhedsproblem | Alvorlighed | Kræver det autentifikation at udnytte sikkerhedshullet? | Kræver det administratorrettigheder at udnytte sikkerhedshullet? |
CVSS-basisscore |
CVSS-vektor |
CVE-nummer/numre | Noter |
|---|---|---|---|---|---|---|---|---|
| Ukorrekt authentication (CWE-287) |
Eskalering af rettigheder |
Kritisk |
Nej | Nej | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45115 | Gælder kun for B2B-udgaven |
| Ukorrekt authentication (CWE-287) |
Sikkerhedsomgåelse |
Kritisk | Nej | Nej | 8.8 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45148 |
Gælder kun for B2B-udgaven |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Kritisk | Ja | Ja | 8.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-45116 | |
| Forkert validering af input (CWE-20) |
Vilkårlig filsystem-læsning |
Kritisk |
Ja | Ja | 7.6 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L |
CVE-2024-45117 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Vigtigt | Ja | Ja | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
CVE-2024-45118 | |
| Forfalskning af anmodninger på serversiden (SSRF) (CWE-918) |
Vilkårlig filsystem-læsning |
Vigtigt | Ja | Ja | 5.5 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N |
CVE-2024-45119 | |
| TOCTOU-betingelse (Time-of-check Time-of-use) ved kørsel (CWE-367) |
Sikkerhedsomgåelse | Moderat | Ja | Nej | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-45120 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45121 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Moderat |
Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45122 | |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Kritisk | Ja | Ja | 6.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45123 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Vigtigt | Ja | Nej | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45124 | |
| Ugyldig autorisation (CWE-863) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45125 | |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Kritisk | Ja | Ja | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45127 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Vigtigt | Ja | Ja | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
CVE-2024-45128 | |
| Ukorrekt adgangskontrol (CWE-284) |
Eskalering af rettigheder |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45129 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45130 | |
| Ukorrekt autorisation (CWE-285) |
Sikkerhedsomgåelse |
Vigtigt | Ja | Ja | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
CVE-2024-45131 | |
| Ukorrekt autorisation (CWE-285) |
Eskalering af rettigheder |
Vigtigt | Ja | Ja | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-45132 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45133 | |
| Afsløring af oplysninger (CWE-200) |
Sikkerhedsomgåelse |
Moderat | Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45134 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Moderat | Ja | Nej | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45135 | |
| Ukorrekt adgangskontrol (CWE-284) |
Sikkerhedsomgåelse |
Moderat |
Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45149 |
Bemærk:
Autentifikation er påkrævet for at udnytte: Sårbarheden kan (eller kan ikke) udnyttes uden legitimationsoplysninger.
Kræver administratorrettigheder: Sårbarheden kan (eller kan ikke) kun udnyttes, hvis angriberen har administratorrettigheder.
Tak til følgende personer
Adobe vil gerne takke følgende researchere at rapportere disse sikkerhedsproblemer og for at samarbejde med Adobe for at beskytte vores kunder:
- Akash Hamal (akashhamal0x01) – CVE-2024-45118, CVE-2024-45120, CVE-2024-45121, CVE-2024-45122, CVE-2024-45128, CVE-2024-45129, CVE-2024-45130, CVE-2024-45131, CVE-2024-45132
- Blaklis (blaklis) –CVE-2024-45115, CVE-2024-45123, CVE-2024-45133, CVE-2024-45134, CVE-2024-45135, CVE-2024-45148, CVE-2024-45149
- wohlie – CVE-2024-45117
- Javier Corral (corraldev) – CVE-2024-45116
- truff – CVE-2024-45119
- Prashant Bhattarai (g0ndaar) – CVE-2024-45124
- n1nj4sec – CVE-2024-45125
- Tara Owens (tmoh4kr) – CVE-2024-45127
BEMÆRK: Adobe har et privat bug bounty-program med HackerOne, som kun er åbent for inviterede. Hvis du er interesseret i at arbejde med Adobe som ekstern sikkerhedsforsker, kan du udfylde denne formular for de næste trin.
Du kan få yderligere oplysninger på https://helpx.adobe.com/dk/security.html eller ved at skrive til PSIRT@adobe.com.
