Magento 的安全性更新已推出 | APSB20-22
安全性公告 ID 發佈日期 優先順序
ASPB20-22
2020 年 4 月 28 日      
2

摘要

Magento 已發佈 Magento Commerce 和 Open Source 版本的更新。  這些更新能解決「重大」、「重要」和「中度」等級的弱點 (嚴重性分級)。  一旦遭有心人士利用,可能會導致執行任意程式碼。    

受影響的版本

產品 版本 平台
Magento Commerce 

2.3.4 (含) 以前版本

全部
Magento Open Source   

2.3.4 (含) 以前版本

全部

Magento Commerce 

2.2.11 (含) 以前版本 (請見附註)

全部

Magento Open Source  

2.2.11 (含) 以前版本 (請見附註)

全部

Magento Enterprise Edition    

1.14.4.4 (含) 以前版本

全部

Magento Community Edition  

1.9.4.4 及舊版

全部

註解:

Magento 2.2x 支援服務已於 2019 年 12 月 31 日終止。

解決方法

Adobe 依照下列優先順序分級將這些更新分類,並建議使用者將其安裝更新至最新版本。

產品 版本 平台 優先順序分級 上市情況
Magento Commerce    
2.3.4-p2 全部 2 2.3.4-p2 Commerce
Magento Open Source    
2.3.4-p2 全部
2

2.3.4-p2 Open Source

Magento Commerce    
2.3.5-p1 全部
2
2.3.5 Commerce
Magento Open Source    
2.3.5-p1 全部
2
2.3.5 Open Source
Magento Enterprise Edition    
1.14.4.5 全部
2
1.14.4.5
Magento Community Edition    
1.9.4.5 全部
2
1.9.4.5

註解:

Magento Commerce 2.2.12 僅限享有 Commerce 延長支援的客戶使用。

弱點詳細資料

弱點類別 弱點影響 嚴重性 需預先驗證身分? 需有管理員權限?

Magento 錯誤 ID CVE 編號
命令注入



任意執行程式碼



重大



PRODSECBUG-2707



CVE-2020-9576



儲存式跨網站指令碼    



敏感資訊揭露    



重要



PRODSECBUG-2671



CVE-2020-9577 



命令注入



任意執行程式碼



重大 



PRODSECBUG-2695



CVE-2020-9578  



略過安全防護措施



任意執行程式碼



重大











PRODSECBUG-2696



CVE-2020-9579
略過安全防護措施



任意執行程式碼 重大











PRODSECBUG-2697



CVE-2020-9580
儲存式跨網站指令碼



敏感資訊揭露



重要











PRODSECBUG-2700



CVE-2020-9581
命令注入



任意執行程式碼



重大











PRODSECBUG-2708



CVE-2020-9582
命令注入



任意執行程式碼



重大











PRODSECBUG-2710



CVE-2020-9583
儲存式跨網站指令碼



敏感資訊揭露



重要











PRODSECBUG-2715



CVE-2020-9584
干擾深度防禦安全防護措施



任意執行程式碼



中度











PRODSECBUG-2541



CVE-2020-9585
干擾深度防禦安全防護措施



未獲授權即逕自存取管理面板



中度







MPERF-10898



CVE-2020-9591



略過身分驗證機制



未授權產品折扣



中度











PRODSECBUG-2518



CVE-2020-9587



明顯的時間落差 略過簽名確認步驟



重要











PRODSECBUG-2677



CVE-2020-9588
商業邏輯錯誤 權限提升 重要 PRODSECBUG-2722 CVE-2020-9630
略過安全防護措施 任意執行程式碼 重大 PRODSECBUG-2703 CVE-2020-9631
略過安全防護措施 任意執行程式碼 重大 PRODSECBUG-2704 CVE-2020-9632

註解:

1.     CVE-2020-9585 已在預設安裝中獲得緩解

2.     CVE-2020-9591 只會影響 Magento 1

註解:

預先驗證身分:不需憑證即可利用弱點。   

需有管理員權限:只有擁有管理權限的攻擊者可以利用弱點。 

鳴謝

Adobe 在此感謝以下個人和組織提報相關問題,與 Adobe 共同保護我們的客戶:  

  • Blaklis (CVE-2020-9576、CVE-2020-9579、CVE-2020-9581、CVE-2020-9582、CVE-2020-9583、CVE-2020-9584)
  • Flatmoon (CVE-2020-9577)
  • Y0natan (CVE-2020-9578)
  • Edgar Boda-Majer (CVE-2020-9580)
  • Qubitz (CVE-2020-9585)
  • Magnusg (CVE-2020-9587)
  • Wasin Sae-ngow (CVE-2020-9588)
  • Max Chadwick (CVE-2020-9630)

 

修訂

2020 年 5 月 4 日: 移除 CVE-2020-9586 的鳴謝內容

2020 年 4 月 7 日: 新增原始公告中不慎刪除的 CVE-2020-9630。 

2020 年 5 月 12 日: 新增原始公告中不慎刪除的 CVE-2020-9631 和 CVE-2020-9632。