Tiedotteen tunnus
Päivitetty viimeksi
23. lokakuuta 2023
Adobe Commercen tietoturvapäivitys | APSB23-50
|
|
Julkaisupäivä |
Prioriteetti |
|---|---|---|
|
APSB23-50 |
10. lokakuuta 2023 |
3 |
Yhteenveto
Adobe on julkaissut tietoturvapäivityksen Adobe Commercea ja Magento Open Sourcea varten. Nämä päivitykset korjaavat kriittisiä ja tärkeitä haavoittuvuuksia. Jos haavoittuvuuksia onnistutaan hyödyntämään, se voi johtaa mielivaltaiseen koodin suorittamiseen, käyttöoikeuksien laajennukseen, mielivaltaiseen tiedostojärjestelmän lukuun, tietoturvaominaisuuksien ohitukseen ja sovelluksen palvelunestoon.
Versiot
| Tuote | Versio | Ympäristö |
|---|---|---|
| Adobe Commerce |
2.4.7-beta1 ja aiemmat versiot 2.4.6-p2 ja aiemmat versiot 2.4.5-p4 ja aiemmat versiot 2.4.4-p5 ja aiemmat versiot 2.4.3-ext-4 ja aiemmat versiot* 2.4.2-ext-4 ja aiemmat versiot* 2.4.1-ext-4 ja aiemmat versiot* 2.4.0-ext-4 ja aiemmat versiot* 2.3.7-p4-ext-4 ja aiemmat versiot* |
Kaikki |
| Magento Open Source | 2.4.7-beta1 ja aiemmat versiot 2.4.6-p2 ja aiemmat versiot 2.4.5-p4 ja aiemmat versiot 2.4.4-p5 ja aiemmat versiot |
Kaikki |
Huomautus: Selkeyden vuoksi versiot, joita asia koskee, on nyt lueteltu versioittain vain uusimpien versioiden sijaan.
* Nämä versiot koskevat vain asiakkaita, jotka osallistuvat laajennettuun tukiohjelmaan
Ratkaisu
Adobe luokittelee päivitykset seuraavan prioriteettiluokituksen mukaisesti ja suosittelee käyttäjiä päivittämään asennuksensa uusimpaan versioon.
| Tuote | Päivitetty versio | Ympäristö | Prioriteettiluokitus | Asennusohjeet |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-beta2 2.4.7-beta1-versiolle ja aiemmille versioille |
Kaikki |
3 | Version 2.4.x julkaisutiedot |
| Magento Open Source |
2.4.7-beta2 versiolle 2.4.7-beta1 ja aiemmille |
Kaikki |
3 | |
| Huomautus: * Nämä versiot koskevat vain asiakkaita, jotka osallistuvat laajennettuun tukiohjelmaan | ||||
Lisätietoja haavoittuvuuksista
| Haavoittuvuusluokka | Haavoittuvuuden vaikutus | Vakavuus | Vaatiiko hyödyntäminen tunnistautumista? | Vaatiiko hyödyntäminen järjestelmänvalvojan oikeuksia? |
CVSS-peruspisteet |
CVSS-vektori |
CVE-numerot |
|---|---|---|---|---|---|---|---|
| Virheellinen syötteen tarkistus (CWE-20) |
Käyttöoikeuksien laajennus |
Kriittinen | Ei | Ei | 8.8 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-38218 |
| Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79) |
Käyttöoikeuksien laajennus |
Kriittinen | Kyllä | Kyllä | 8.4 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
CVE-2023-38219 |
| Virheellinen valtuutus (CWE-285) |
Tietoturvaominaisuuden ohitus |
Kriittinen | Kyllä | Ei | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-38220 |
| SQL-komennossa käytettyjen erikoiselementtien virheellinen neutralointi (”SQL-injektio”) (CWE-89) |
Mielivaltaisen koodin suoritus |
Kriittinen | Kyllä | Kyllä | 8.0 | CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2023-38221 |
| SQL-komennossa käytettyjen erikoiselementtien virheellinen neutralointi (”SQL-injektio”) (CWE-89) |
Mielivaltaisen koodin suoritus |
Kriittinen | Kyllä | Kyllä | 8.0 | CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2023-38249 |
| SQL-komennossa käytettyjen erikoiselementtien virheellinen neutralointi (”SQL-injektio”) (CWE-89) |
Mielivaltaisen koodin suoritus |
Kriittinen | Kyllä | Kyllä | 8.0 | CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2023-38250 |
| Tietojen paljastuminen (CWE-200) |
Mielivaltaisen koodin suoritus |
Kriittinen |
Kyllä | Kyllä | 7.6 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L |
CVE-2023-26367 |
| Resurssien hallitsematon kulutus (CWE-400) |
Sovelluksen palvelunesto |
Tärkeä | Ei | Ei | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L |
CVE-2023-38251 |
| Palvelinpuolen pyynnön väärennös (SSRF) (CWE-918) |
Mielivaltainen tiedostojärjestelmän luku |
Tärkeä |
Kyllä | Kyllä | 6.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N |
CVE-2023-26366 |
Riippuvuussuhteiden päivitykset
| CVE | Riippuvuussuhde |
Haavoittuvuuden vaikutus |
Versiot |
| CVE-2021-41182 |
jQuery |
Satunnaisten koodien suoritus |
Adobe Commerce 2.4.6-p2, 2.4.5-p4, 2.4.4-p5, 2.4.7-beta1 ja aiemmat versiot |
Huomautus:
Hyödyntäminen edellyttää tunnistautumista: Haavoittuvuus on (tai ei ole) hyödynnettävissä ilman tunnistetietoja.
Hyödyntäminen edellyttää järjestelmänvalvojan oikeuksia: Haavoittuvuutta voi (tai ei voi) hyödyntää vain hyökkääjä, jolla on järjestelmänvalvojan oikeudet.
Kiitokset
Adobe haluaa kiittää seuraavia tutkijoita näistä ongelmista ilmoittamisesta ja yhteistyöstä Adoben kanssa sen asiakkaiden suojaamisessa:
- wohlie – CVE-2023-38220, CVE-2023-38221, CVE-2023-38249, CVE-2023-38250, CVE-2023-38251, CVE-2023-26367
- Blaklis – CVE-2023-38219
- fqdn – CVE-2023-38218
- Sebastien Cantos (truff) – CVE-2023-26366
HUOMAUTUS: Adobella on HackerOnessa yksityinen, vain kutsutuille tarkoitettu buginmetsästysohjelma. Jos olet kiinnostunut työskentelemään Adoben kanssa ulkopuolisena tietoturvatutkijana, täytä tämä lomake, niin saat ohjeet.
Versiot
13. lokakuuta 2023: CVE-2023-26368 poistettiin, koska se on kolmannen osapuolen jQuery-riippuvuus.
Saat lisätietoja siirtymällä osoitteeseen https://helpx.adobe.com/fi/security.html tai lähettämällä sähköpostia osoitteeseen PSIRT@adobe.com.
