Sicherheits-Patch verfügbar

Händler können jetzt zeitkritische Sicherheitskorrekturen installieren, ohne die Hunderte von funktionalen Korrekturen und Verbesserungen anzuwenden, die eine vollständige vierteljährliche Version bereitstellt (z. B. 2.4.1-p1). Patch 2.4.0.12 (Composer-Paket 2.4.1-p1) ist ein Sicherheits-Patch, der Fehlerbehebungen für Sicherheitslücken bietet, die in unserer vorherigen vierteljährlichen Version 2.4.1 identifiziert wurden. Alle Hotfixes, die auf die Version 2.4.1 angewendet wurden, sind in diesem Sicherheits-Patch enthalten. (Ein Hotfix bietet eine Fehlerbehebung für eine veröffentlichte Version, die ein bestimmtes Problem oder einen Fehler behebt.)

Allgemeine Informationen zu Sicherheits-Patches finden Sie unter Einführung in die neue Sicherheits-Patch-Version. Anweisungen zum Herunterladen und Anwenden von Sicherheits-Patches (einschließlich Patch 2.4.1-p1) finden Sie Schnellstart für die lokale Installation. Sicherheits-Patches enthalten nur Sicherheitsfehlerbehebungen, nicht aber die zusätzlichen Sicherheitsverbesserungen, die im vollständigen Patch enthalten sind.

Weitere Versionsinformationen

Obwohl der Code für diese Funktionen mit vierteljährlichen Releases gebündelt ist, werden mehrere dieser Projekte (z. B. Progressiven Webs Application (PWA Studio)) ebenfalls unabhängig voneinander veröffentlicht. Fehlerbehebungen für diese Projekte werden in den separaten, projektspezifischen Versionsinformationen dokumentiert, die in der Dokumentation für jedes Projekt verfügbar sind.

Highlights

Achten Sie auf die folgenden Highlights in dieser Version.

Wesentliche Sicherheitsverbesserungen

Diese Version umfasst mehr als 35 Sicherheitskorrekturen und Verbesserungen der Plattformsicherheit. Alle Sicherheitskorrekturen wurden auf 2.4.1-p1 und 2.3.6-p1 rückportiert.

Mehr als 35 Sicherheitsverbesserungen, die die Schwachstellen bei Remote Code Execution (RCE) und Cross-Site Scripting (XSS) beheben

Bisher sind keine bestätigten Angriffe im Zusammenhang mit diesen Problemen aufgetreten. Bestimmte Schwachstellen können jedoch ausgenutzt werden, um auf Kundeninformationen zuzugreifen oder Administratorsitzungen zu übernehmen. Die meisten dieser Probleme erfordern, dass ein Angreifer zunächst Zugriff auf den Administrator erhält. Daher erinnern wir Sie daran, alle erforderlichen Schritte zu unternehmen, um Ihren Administrator zu schützen, einschließlich, aber nicht beschränkt auf diese Bemühungen: IP-Zulassungsauflistung, Zwei-Faktor-Authentifizierung, die Verwendung eines VPN, die Verwendung eines eindeutigen Standorts anstelle von /admin und gute Passworthygiene. Unter Adobe-Sicherheitsbulletin finden Sie eine Erläuterung dieser behobenen Probleme.

Zusätzliche Sicherheitsverbesserungen

Zu den Sicherheitsverbesserungen für diese Version gehören:

  • Alle Core-Cookies unterstützen jetzt das SameSite.

  • Die Anwendung zeigt jetzt Meldungen an, die potenziell schadhaften Inhalt in Produkt- und Kategoriebeschreibungsfeldern identifizieren, wenn Benutzende versuchen, Werte in diesen Feldern zu speichern.

  • Dateisystemvorgänge in allen Komponenten wurden standardisiert und gehärtet, um böswillige Uploads zu verhindern.

  • Verstöße gegen die Core Content Security Policy (CSP) wurden behoben.

NOTE
Ab Version 2.3.2 werden wir indexierte Common Vulnerabilities and Expositions (CVE)-Nummern mit jedem Sicherheitsfehler zuweisen und veröffentlichen, der uns von externen Parteien gemeldet wurde. Auf diese Weise können Benutzer nicht adressierte Schwachstellen in ihrer Bereitstellung leichter identifizieren. Weitere Informationen zu CVE-Kennungen finden Sie unter CVE.