ID do boletim
Última atualização em
05/07/2024
Atualização de segurança disponível para o Adobe Commerce | APSB24-03
|
|
Data de publicação |
Prioridade |
|---|---|---|
|
APSB24-03 |
13 de fevereiro de 2024 |
3 |
Resumo
A Adobe lançou atualizações de segurança para o Adobe Commerce e o Magento Open Source. Esta atualização resolve vulnerabilidades críticas, importantes e moderadas. A exploração bem-sucedida poderia levar à execução arbitrária do código, desvio de recursos de segurança e negação de serviço do aplicativo.
Versões afetadas
| Produto | Versão | Plataforma |
|---|---|---|
| Adobe Commerce |
2.4.6-p3 e anteriores 2.4.5-p5 e anteriores 2.4.4-p6 e anteriores 2.4.3-ext-5 e anteriores* 2.4.2-ext-5 e anteriores* |
Todos |
| Magento Open Source | 2.4.6-p3 e versões anteriores 2.4.5-p5 e versões anteriores 2.4.4-p6 e versões anteriores |
Todos |
Observação: para maior clareza, as versões afetadas foram listadas por cada linha de lançamento compatível, em vez de apenas pelas versões mais recentes.
* Essas versões são aplicáveis somente aos clientes que participam do Programa de Suporte Estendido
Solução
A Adobe categoriza essas atualizações com as seguintes classificações de prioridade e recomenda que os usuários atualizem suas instalações para a versão mais recente.
| Produto | Versão atualizada | Plataforma | Classificação de prioridade | Instruções de instalação |
|---|---|---|---|---|
| Adobe Commerce |
2.4.6-p4 para 2.4.6-p3 e anteriores |
Todos |
3 | Notas de versão 2.4.x |
| Magento Open Source |
2.4.6-p4 para 2.4.6-p3 e versões anteriores |
Todos |
3 | |
| Observações: * Essas versões são aplicáveis somente aos clientes que participam do Programa de Suporte Estendido | ||||
Detalhes da vulnerabilidade
| Categoria da vulnerabilidade | Impacto da vulnerabilidade | Severidade | Autenticação necessária para explorar? | A exploração requer privilégios administrativos? |
Pontuação base de CVSS |
Vetor CVSS |
Número(s) CVE |
|---|---|---|---|---|---|---|---|
| Criação de script entre sites (XSS armazenado) (CWE-79) | Execução de código arbitrário |
Crítico | Sim | Sim | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVE-2024-20719 |
| Neutralização inadequada de elementos especiais usados em um comando de SO (“injeção de comando de SO”) (CWE-78) | Execução de código arbitrário |
Crítico | Sim | Sim | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVE-2024-20720 |
| Consumo de recursos não controlado (CWE-400) | Negação de serviço de aplicativo | Importante | Sim | Sim | 5.7 | CVSS:3.1/AV:A/AC:L/PR:H/UI:R/S:C/C:N/I:N/A:H | CVE-2024-20716 |
| Criação de script entre sites (XSS armazenado) (CWE-79) |
Execução de código arbitrário | Importante | Sim | Sim | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20717 |
| Falsificação de solicitação entre sites (CSRF) (CWE-352) | Falha de recurso de segurança |
Moderado | Sim | Não | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N | CVE-2024-20718 |
Observação:
Autenticação necessária para explorar: a vulnerabilidade é (ou não é) explorável sem credenciais.
A exploração requer privilégios administrativos: a vulnerabilidade é (ou não é) apenas explorável por um invasor com privilégios administrativos.
Agradecimentos
A Adobe gostaria de agradecer aos seguintes pesquisadores por relatarem esses problemas e trabalharem com a Adobe para ajudar a proteger nossos clientes:
- Blaklis - CVE-2024-20719, CVE-2024-20720
- Rafael Corrêa Gomes (rafaelcg) - CVE-2024-20716
- lboy - CVE-2024-20717
- Alexandrio - CVE-2024-20718
OBSERVAÇÃO: o Adobe tem um programa de recompensa de bugs privado, apenas para convidados, o HackerOne. Se estiver interessado em trabalhar com a Adobe como pesquisador de segurança externa, preencha este formulário para saber as próximas etapas.
Revisões
26 de junho de 2024 – Remoção de versões inaplicáveis de suporte estendido de fim de vida útil das tablets de versões afetadas e de solução
Para mais informações, acesse https://helpx.adobe.com/br/security.html ou envie um email para PSIRT@adobe.com.
