ID buletin
Ultima actualizare la
21 mar. 2025
Actualizări de securitate disponibile pentru Adobe Commerce | APSB24-40
|
|
Data publicării |
Prioritatea |
|---|---|---|
|
APSB24-40 |
11 iunie 2024 |
1 |
Sumar
Adobe a lansat o actualizare de securitate pentru Adobe Commerce, Magento Open Source și Adobe Commerce Webhooks Plugin. Această actualizare remediază vulnerabilități critice și importante. Exploatarea cu succes ar putea duce la execuția de cod arbitrar, ocolirea caracteristicilor de securitate și redirecționarea privilegiilor.
Compania Adobe este conștientă de faptul că CVE-2024-34102 a fost exploatat în natură în atacuri limitate care au vizat comercianții Adobe Commerce.
Versiunile afectate
| Produs | Versiunea | Platformă |
|---|---|---|
| Adobe Commerce |
2.4.7 și versiunile anterioare 2.4.6-p5 și versiunile anterioare 2.4.5-p7 și versiunile anterioare 2.4.4-p8 și versiunile anterioare 2.4.3-ext-7 și versiunile anterioare* 2.4.2-ext-7 și versiunile anterioare* |
Toate |
| Magento Open Source | 2.4.7 și versiunile anterioare 2.4.6-p5 și versiunile anterioare 2.4.5-p7 și versiunile anterioare 2.4.4-p8 și versiunile anterioare |
Toate |
| Plugin Adobe Commerce Webhooks |
De la 1.2.0 la 1.4.0 |
Instalarea manuală a plugin-ului |
Notă: Din motive de claritate, versiunile afectat listate sunt acum listate pentru fiecare linie de versiuni acceptate în locul a doar cele mai recente versiuni.
* Aceste versiuni se aplică numai clienților care participă la Programul de asistență extinsă
Soluție
Adobe acordă acestor actualizări următoarele evaluări ale priorității și recomandă utilizatorilor să își actualizeze produsele instalate la cea mai nouă versiune.
| Produs | Versiune actualizată | Platformă | Evaluare a priorității | Instrucţiuni de instalare |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-p1 for 2.4.7 și versiunile anterioare |
Toate |
1 | Notele versiunii 2.4.x |
| Magento Open Source |
2.4.7-p1 pentru 2.4.7 și versiunile anterioare |
Toate |
1 | |
| Plugin Adobe Commerce Webhooks |
1.5.0 | Instalarea manuală a plugin-ului | 1 | Module și extensii de upgrade |
| Adobe Commerce și Magento Open Source | Patch izolat pentru CVE-2024-34102: ACSD-60241
Compatibil cu toate versiunile Adobe Commerce și Magento Open Source între 2.4.4 - 2.4.7 |
Toate | 1 | Note de lansare pentru patch-ul izolat
|
| Notă: * Aceste versiuni se aplică numai clienților care participă la Programul de asistență extinsă | ||||
Detalii privind vulnerabilitatea
| Categoria de vulnerabilitate | Impactul vulnerabilității | Severitate | Este necesară autentificarea pentru exploatare? | Exploatarea necesită privilegii de administrator? |
Scor de bază CVSS |
Vector CVSS |
Numărul (numerele) CVE | Note |
|---|---|---|---|---|---|---|---|---|
| Falsificarea solicitărilor de partea serverului (SSRF) (CWE-918) |
Executare de cod arbitrar |
Critică | Da | Da | 8.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N |
CVE-2024-34111 |
Fără |
| Restricționare inadecvată a referinței la entități externe XML („XXE”) (CWE-611) |
Executare de cod arbitrar |
Critică | Nu | Nu | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-34102 |
Fără |
| Autorizare nepotrivită (CWE-287) |
Escaladarea privilegiilor |
Critică | Nu | Nu | 8.1 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-34103 |
Fără |
| Autorizare improprie (CWE-285) |
Ocolirea caracteristicii de securitate |
Critică |
Da | Nu | 8.2 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
CVE-2024-34104 |
Fără |
| Validare neadecvată a intrării (CWE-20) |
Executare de cod arbitrar |
Critică |
Da |
Da |
9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2024-34108
|
Plugin Adobe Commerce Webhooks |
| Validare neadecvată a intrării (CWE-20) |
Executare de cod arbitrar |
Critică | Da |
Da |
8.0 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2024-34109 | Plugin Adobe Commerce Webhooks |
| Încărcarea nerestricționată a unui fișier de tip periculos (CWE-434) |
Executare de cod arbitrar |
Critică | Da |
Da |
8.0 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2024-34110 | Plugin Adobe Commerce Webhooks |
| Scriptare între site-uri (XSS stocat) (CWE-79) |
Executare de cod arbitrară |
Importantă | Da | Da | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-34105 | Fără |
| Autorizare nepotrivită (CWE-287) |
Ocolirea caracteristicii de securitate |
Importantă | Da | Nu | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-34106 | Fără |
| Control inadecvat al accesului (CWE-284) |
Ocolirea caracteristicii de securitate |
Importantă |
Nu | Nu | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-34107 | Fără |
Notă:
Coloana „Este necesară autentificarea pentru exploatare?” clarifică dacă vulnerabilitatea listată necesită ca atacatorul să aibă acreditări valide de conectare la sistemul Commerce pentru a putea exploata cu succes.
„Da” înseamnă că acreditările sunt valide și este necesară o autentificare cu succes înainte ca o exploatare să fie realizată cu succes.
„Nu” înseamnă că este posibilă o exploatare fără acreditări și autentificare valide.
Mențiuni
Adobe dorește să mulțumească următorilor cercetători pentru raportarea acestor probleme și pentru colaborarea cu Adobe în scopul protejării clienților noștri:
- wohlie - CVE-2024-34108, CVE-2024-34109, CVE-2024-34110
- T.H. Lassche (thlassche) - CVE-2024-34104, CVE-2024-34107
- spacewasp - CVE-2024-34102
- persata - CVE-2024-34103
- Geluchat (geluchat) - CVE-2024-34105
- Akash Hamal (akashhamal0x01) - CVE-2024-34111
- pranoy_2022 - CVE-2024-34106
NOTĂ: Adobe are un program privat de recompensă pentru erori, cu invitație exclusivă, cu HackerOne. Dacă sunteți interesat să lucrați cu Adobe în calitate de cercetător extern în domeniul securității, completați acest formular pentru pașii următori.
Revizuiri
11 martie, 2025: Notă textul din tabelul „Detalii privind vulnerabilitatea” a fost revizuit.
8 iulie 2024:
- Prioritatea a fost revizuită la 1.
27 iunie 2024:
- Adobe a furnizat un patch izolat pentru CVE-2024-34102.
26 iunie 2024:
- Prioritatea buletinului revizuită de la 3 la 2. Adobe cunoaște faptul că există un articol disponibil publicului și care face referire la CVE-2024-34102.
- Îndepărtarea versiunilor inaplicabile de suport extins la sfârșitul ciclului de viață din tabelele Versiuni afectate și Versiuni soluție
Pentru mai multe informații, vizitați https://helpx.adobe.com/ro/security.html sau trimiteți e-mail la PSIRT@adobe.com.
