Correctif de sécurité disponible

Les vendeurs peuvent désormais installer des correctifs de sécurité sensibles au temps sans appliquer les centaines de correctifs fonctionnels et d’améliorations apportés par une version trimestrielle complète (par exemple, 2.4.0-p1). Le correctif 2.4.0.1 (module du compositeur 2.4.0-p1) est un correctif de sécurité qui fournit des correctifs pour les vulnérabilités identifiées dans notre version trimestrielle précédente, 2.4.0. Tous les correctifs qui ont été appliqués à la version 2.4.0 sont inclus dans ce correctif de sécurité. (Un correctif fournit un correctif à une version publiée qui résout un problème ou un bogue spécifique.)

Pour obtenir des informations générales sur les correctifs de sécurité, voir Présentation de la nouvelle version du correctif de sécurité. Pour obtenir des instructions sur le téléchargement et l’application de correctifs de sécurité (y compris le correctif 2.3.5-p2), reportez-vous à la section Installation sur site rapide. Les correctifs de sécurité incluent uniquement des correctifs de sécurité, et non les améliorations de sécurité supplémentaires incluses dans le correctif complet.

Appliquez AC-3022.patch pour continuer à proposer DHL comme opérateur de transport

DHL a introduit la version 6.2 du schéma et va abandonner la version 6.0 dans un avenir proche. Adobe Commerce 2.4.4 et les versions antérieures qui prennent en charge l’intégration DHL ne prennent en charge que la version 6.0. Les commerçants qui déploient ces versions doivent appliquer AC-3022.patch dès que possible pour continuer à proposer DHL en tant qu'opérateur de transport. Pour plus d’informations sur le téléchargement et l’installation du correctif, reportez-vous à l’article Appliquer un correctif pour continuer à proposer DHL comme opérateur de transport de la base de connaissances.

Autres informations de mise à jour

Bien que le code de ces fonctionnalités soit fourni avec des versions trimestrielles , plusieurs de ces projets (par exemple, Progressive Web Application (PWA) Studio) sont également publiés indépendamment. Les correctifs de bogues pour ces projets sont documentés dans les informations de mise à jour distinctes et spécifiques au projet disponibles dans la documentation de chaque projet.

Tons clairs

Recherchez les points forts suivants dans cette version.

Améliorations substantielles de la sécurité

Cette version comprend plus de 15 correctifs de sécurité et améliorations de la sécurité de la plateforme. Tous les correctifs de sécurité ont été rétroportés aux versions 2.4.0-p1 et 2.3.6.

Plus de 15 améliorations de sécurité qui permettent de fermer des vulnérabilités d’exécution de code distant (RCE) et de script de site à site (XSS)

Aucune attaque confirmée liée à ces problèmes n'a été survenue à ce jour. Cependant, certaines vulnérabilités peuvent être exploitées pour accéder aux informations sur les clients ou prendre le contrôle des sessions d’administrateur. La plupart de ces problèmes nécessitent qu’un attaquant obtienne d’abord l’accès à l’administrateur. Par conséquent, nous vous rappelons de prendre toutes les mesures nécessaires pour protéger votre administrateur, y compris, mais sans s’y limiter, les efforts suivants : placé sur la liste autorisée IP, authentification à deux facteurs, utilisation d’un VPN, utilisation d’un emplacement unique plutôt que /admin, et bonne hygiène du mot de passe. Voir Mises à jour de sécurité disponibles pour Magento pour une discussion sur ces problèmes résolus.

Améliorations supplémentaires de la sécurité

Les améliorations de sécurité pour cette version sont les suivantes :

  • La protection CAPTCHA a été ajoutée aux zones de produit suivantes :

    • Placer la page storefront de commande et les points d'entrée REST et GraphQL
    • Points d’entrée REST et GraphQL liés aux paiements.

    La protection CAPTCHA de ces pages supplémentaires est désactivée par défaut. Elle peut être activée sur l’administrateur de la même manière que les autres pages couvertes par CAPTCHA. Cette protection a été ajoutée en tant que mécanisme anti-force brute pour protéger les magasins contre les attaques de carding. Voir CAPTCHA.

  • Prise en charge de l’attribut samesite pour les cookies. Pour prendre en charge l’application Google Chrome du nouveau système de classification des cookies, les classes d’application qui gèrent les cookies ont été mises à jour afin de prendre en charge l’attribut de cookie SameSite. Cet attribut est défini sur Lax par défaut, mais peut être explicitement remplacé.

  • Outil d’analyse de sécurité amélioré. Adobe s'est associé à Sanguine Security, un leader dans la prévention de la écrémage numérique, pour intégrer sa base de données de plus de 8 700 signatures de menaces dans l'outil d'analyse de sécurité. Ce partenariat permettra aux commerçants d’obtenir des informations en temps réel sur l’état de sécurité de leur site grâce à une détection proactive des logiciels malveillants et une réduction des faux positifs. Les marchands peuvent s’inscrire à l’outil en visitant https://account.magento.com/scanner. Pour plus d’informations, consultez la publication de blog Sécuriser votre vitrine avec l’outil d’analyse de sécurité amélioré .

NOTE
À compter de la version 2.3.2, nous assignerons et publierons des numéros CVE (Vulnérabilités et expositions courantes indexées) avec chaque bogue de sécurité signalé par des tiers externes. Cela permet aux utilisateurs d’identifier plus facilement les vulnérabilités non corrigées dans leur déploiement. Vous pouvez en savoir plus sur les identifiants CVE à l’adresse CVE.