Бюллетень безопасности Adobe

Поиск

Последнее обновление 26 авг. 2024 г.

Обновление системы безопасности для Adobe Commerce | APSB24-61

Идентификатор бюллетеня	Дата публикации	Приоритет
APSB24-61	13 августа 2024 г.	3

Сводка

Компания Adobe выпустила обновление системы безопасности для Adobe Commerce и Magento Open Source. В этом обновлении устранены критические, важные и средние уязвимости.  Успешная эксплуатация может привести к выполнению произвольного кода, чтению произвольной файловой системы, обходу функций безопасности и повышению привилегий.

Затронутые версии

Продукт	Версия	Платформа
Adobe Commerce	2.4.7-p1 и более ранние версии 2.4.6-p6 и более ранние версии 2.4.5-p8 и более ранние версии 2.4.4-p9 и более ранние версии	Все
Magento Open Source	2.4.7-p1 и более ранние версии 2.4.6-p6 и более ранние версии 2.4.5-p8 и более ранние версии 2.4.4-p9 и более ранние версии	Все

Примечание. Для ясности, затронутые версии теперь перечислены для каждой линии выпуска, а не только для самых последних версий.

Решение

Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий.

Продукт	Обновленная версия	Платформа	Рейтинг приоритета	Инструкции по установке
Adobe Commerce	2.4.7-p2 для 2.4.7-p1 и более ранние версии 2.4.6-p7 для 2.4.6-p6 и более ранние версии 2.4.5-p9 для 2.4.5-p8 и более ранние версии 2.4.4-p10 для 2.4.4-p9 и более ранние версии	Все	3	Заметки о выпуске 2.4.x
Magento Open Source	2.4.7-p2 для 2.4.7-p1 и более ранние версии 2.4.6-p7 для 2.4.6-p6 и более ранние версии 2.4.5-p9 для 2.4.5-p8 и более ранние версии 2.4.4-p10 для 2.4.4-p9 и более ранние версии	Все	3
Adobe Commerce и Magento Open Source	Изолированное исправление для CVE-2024-39397 Совместимость со всеми версиями Adobe Commerce и Magento Open Source между 2.4.4 - 2.4.7	Все	3	Сведения о выпуске для изолированного исправления CVE-2024-39397

Продукт

Обновленная версия

Платформа

Рейтинг приоритета

Инструкции по установке

Adobe Commerce

2.4.7-p2 для 2.4.7-p1 и более ранние версии
2.4.6-p7 для 2.4.6-p6 и более ранние версии
2.4.5-p9 для 2.4.5-p8 и более ранние версии
2.4.4-p10 для 2.4.4-p9 и более ранние версии

Все

Заметки о выпуске 2.4.x

Magento Open Source

Все

Adobe Commerce и Magento Open Source

Изолированное исправление для CVE-2024-39397

Совместимость со всеми версиями Adobe Commerce и Magento Open Source между 2.4.4 - 2.4.7

Все

Сведения о выпуске для изолированного исправления CVE-2024-39397

Сведения об уязвимости

Категория уязвимости	Влияние уязвимости	Серьезность	Требуется ли аутентификация для использования?	Для использования нужны права администратора?	Базовая оценка CVSS	Вектор CVSS	Номера CVE	Заметки
Неограниченная загрузка файлов опасного типа (CWE-434)	Выполнение произвольного кода	Критическая	Нет	Нет	9.0	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H	CVE-2024-39397	Затронуты только продавцы, использующие веб-сервер Apache
Некорректное ограничение количества попыток аутентификации, превышающих максимальное (CWE-307)	Обход функции безопасности	Критическая	Да	Да	7.4	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2024-39398
Выход за пределы назначенного каталога ("обход каталога") (CWE-22)	Чтение в произвольной файловой системе	Критическая	Да	Да	7.7	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N	CVE-2024-39399
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Критическая	Да	Да	8.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N	CVE-2024-39400
Неправильная нейтрализация специальных элементов, используемых в команде ОС («Внедрение команды ОС») (CWE-78)	Выполнение произвольного кода	Критическая	Да	Да	8.4	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2024-39401
Неправильная нейтрализация специальных элементов, используемых в команде ОС («Внедрение команды ОС») (CWE-78)	Выполнение произвольного кода	Критическая	Да	Да	8.4	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2024-39402
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Критическая	Да	Да	7.6	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N	CVE-2024-39403
Раскрытие информации (CWE-200)	Обход функции безопасности	Важная	Да	Да	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N	CVE-2024-39406
Неправильный контроль доступа (CWE-284)	Повышение уровня полномочий	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2024-39404
Неправильный контроль доступа (CWE-284)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2024-39405
Некорректная авторизация (CWE-863)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2024-39407
Подделка межсайтовых запросов (CSRF) (CWE-352)	Обход функции безопасности	Средняя	Да	Нет	4.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	CVE-2024-39408
Подделка межсайтовых запросов (CSRF) (CWE-352)	Обход функции безопасности	Средняя	Да	Нет	4.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	CVE-2024-39409
Подделка межсайтовых запросов (CSRF) (CWE-352)	Обход функции безопасности	Средняя	Да	Нет	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2024-39410
Неправильный контроль доступа (CWE-284)	Повышение уровня полномочий	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2024-39411
Неправильная авторизация (CWE-285)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2024-39412
Неправильная авторизация (CWE-285)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2024-39413
Неправильный контроль доступа (CWE-284)	Повышение уровня полномочий	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2024-39414
Неправильная авторизация (CWE-285)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2024-39415
Неправильная авторизация (CWE-285)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2024-39416
Неправильная авторизация (CWE-285)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2024-39417
Неправильная авторизация (CWE-285)	Обход функции безопасности	Средняя	Да	Да	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2024-39418
Неправильный контроль доступа (CWE-284)	Повышение уровня полномочий	Средняя	Да	Да	4.3	CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2024-39419

Примечание.

Для использования требуется аутентификация: Уязвимость может (или не может) использоваться без учетных данных.

Для использования нужны права администратора: Уязвимость может (или не может) использоваться только злоумышленником с правами администратора.

Благодарности

Компания Adobe выражает благодарность следующим исследователям за сообщение об этих проблемах и за помощь Adobe в защите наших клиентов:

Akash Hamal (akashhamal0x01): CVE-2024-39404, CVE-2024-39405, CVE-2024-39407, CVE-2024-39411, CVE-2024-39412, CVE-2024-39413, CVE-2024-39414, CVE-2024-39415, CVE-2024-39416, CVE-2024-39417, CVE-2024-39418, CVE-2024-39419
wohlie: CVE-2024-39401, CVE-2024-39402, CVE-2024-39403
Javier Corral (corraldev): CVE-2024-39398, CVE-2024-39400
Alexandrio (alexandrio): CVE-2024-39408, CVE-2024-39409
Blaklis (blaklis): CVE-2024-39406, CVE-2024-39410
T.H. Lassche (thlassche): CVE-2024-39397
Icare (icare): CVE-2024-39399

ПРИМЕЧАНИЕ. Adobe имеет частную, доступную только для приглашенных программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, заполните эту форму.

Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com.