Magento に関するセキュリティアップデート公開 | APSB20-22
情報 ID 公開日 優先度
ASPB20-22
2020 年 4 月 28 日
2

要約

Magento Commerce および Open Source エディションのアップデートが公開されました。このアップデートは、クリティカル、重要、中度(深刻度)に分類された脆弱性を解消します。この脆弱性が悪用されると、任意のコードが実行されるおそれがあります。

影響を受けるバージョン

製品名 バージョン プラットフォーム
Magento Commerce 

2.3.4 とそれ以前のバージョン

すべて
Magento オープンソース   

2.3.4 とそれ以前のバージョン

すべて

Magento Commerce 

2.2.11 とそれ以前のバージョン(注を参照)

すべて

Magento オープンソース  

2.2.11 とそれ以前のバージョン(注を参照)

すべて

Magento Enterprise Edition    

1.14.4.4 とそれ以前のバージョン

すべて

Magento Community Edition  

1.9.4.4 とそれ以前のバージョン

すべて

注意:

Magento 2.2x は 2019 年 12 月 31 日にサポートを終了しました。

解決策

アドビは、これらのアップデート版の優先度を次のように評価し、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。

製品名 バージョン プラットフォーム 優先度レート 入手方法
Magento Commerce    
2.3.4-p2 すべて 2 2.3.4-p2 商取引
Magento オープンソース    
2.3.4-p2 すべて
2

2.3.4-p2 オープンソース

Magento Commerce    
2.3.5-p1 すべて
2
2.3.5 Commerce
Magento オープンソース    
2.3.5-p1 すべて
2
2.3.5 オープンソース
Magento Enterprise Edition    
1.14.4.5 すべて
2
1.14.4.5
Magento Community Edition    
1.9.4.5 すべて
2
1.9.4.5

注意:

Magento Commerce 2.2.12 は、コマースのお客様向けの拡張サポートのみを提供しています。

脆弱性に関する詳細

脆弱性のカテゴリー 脆弱性の影響 深刻度 事前認証? 管理者権限が必要ですか?

Magento Bug ID CVE 番号
コマンドインジェクション



任意のコード実行



クリティカル



いいえ はい PRODSECBUG-2707



CVE-2020-9576



保存されたクロスサイトスクリプティング    



機密情報漏えい    



重要 はい



いいえ PRODSECBUG-2671



CVE-2020-9577 



コマンドインジェクション



任意のコード実行



クリティカル



いいえ はい PRODSECBUG-2695



CVE-2020-9578  



セキュリティ軽減バイパス



任意のコード実行



クリティカル



いいえ



はい



PRODSECBUG-2696



CVE-2020-9579
セキュリティ軽減バイパス



任意のコード実行 クリティカル



いいえ



はい



PRODSECBUG-2697



CVE-2020-9580
保存されたクロスサイトスクリプティング



機密情報漏えい



重要



いいえ



はい



PRODSECBUG-2700



CVE-2020-9581
コマンドインジェクション



任意のコード実行



クリティカル



いいえ



はい



PRODSECBUG-2708



CVE-2020-9582
コマンドインジェクション



任意のコード実行



クリティカル



いいえ



はい



PRODSECBUG-2710



CVE-2020-9583
保存されたクロスサイトスクリプティング



機密情報漏えい



重要



はい



いいえ



PRODSECBUG-2715



CVE-2020-9584
Defense-in-depth セキュリティの緩和



任意のコード実行



中度



いいえ



はい



PRODSECBUG-2541



CVE-2020-9585
Defense-in-depth セキュリティの緩和



管理者パネルへの不正なアクセス



中度



はい はい



MPERF-10898



CVE-2020-9591



認証バイパス



不正な製品割引の可能性



中度



はい



いいえ



PRODSECBUG-2518



CVE-2020-9587



目に見えるタイミングの違い 署名認証バイパス



重要



いいえ



はい



PRODSECBUG-2677



CVE-2020-9588
ビジネスロジックエラー 権限昇格 重要 いいえ はい PRODSECBUG-2722 CVE-2020-9630
セキュリティ軽減バイパス 任意のコード実行 クリティカル いいえ はい PRODSECBUG-2703 CVE-2020-9631
セキュリティ軽減バイパス 任意のコード実行 クリティカル いいえ はい PRODSECBUG-2704 CVE-2020-9632

注意:

1.   CVE-2020-9585 は、デフォルトのインストール時の影響は緩和しました。

2.   CVE-2020-9591 は Magento 1 に排他的に影響を与えます。

注意:

事前認証:この脆弱性は、資格情報がない場合に不正利用可能です。

必要な管理者権限:この脆弱性は、管理者権限を持つ攻撃者によってのみ不正利用可能です。

謝辞

一連の問題をご報告いただき、ユーザーの保護にご協力いただいた以下の個人および組織の皆様に対し、アドビより厚く御礼を申し上げます。

  • Blaklis (CVE-2020-9576、CVE-2020-9579、CVE-2020-9581、CVE-2020-9582、CVE-2020-9583、CVE-2020-9584)
  • Flatmon 氏(CVE-2020-9577)
  • Y0natan 氏(CVE-2020-9578)
  • Edgar Boda-Majer 氏(CVE-2020-9580)
  • Qubitz 氏(CVE-2020-9585)
  • Magnusg 氏(CVE-2020-9587)
  • Wasin Sae-ngow 氏(CVE-2020-9588)
  • Max Chadwick 氏(CVE-2020-9630)

 

更新履歴

2020 年 5 月 4 日: CVE-2020-9586 に対する謝辞を削除しました。

2020 年 5 月 7 日: 誤って元のバージョンから除外された CVE-2020-9630 を追加しました。

2020 年 5 月 12 日: 誤って元のバージョンから除外された CVE-2020-9631 と CVE-2020-9632 が追加されました。