Aggiornamento di sicurezza disponibile per Adobe Commerce - APSB25-08

Ultimo aggiornamento: 12 febbraio 2025

Creato per:

  • Sviluppatore

L’11 febbraio 2025, Adobe ha rilasciato un aggiornamento sulla sicurezza regolarmente pianificato per Adobe Commerce e Magento Open Source. Questo aggiornamento risolve critical, important e moderate vulnerabilità. Il successo dello sfruttamento di queste vulnerabilità potrebbe portare all’esecuzione arbitraria del codice, al bypass della funzione di sicurezza e all’escalation dei privilegi. Ulteriori informazioni sono disponibili nel Bollettino sulla sicurezza di Adobe (APSB25-08) qui.

NOTE
Per garantire che la correzione per CVE-2025-24434, indicata nel bollettino sulla sicurezza riportato sopra, possa essere applicata il più rapidamente possibile, Adobe ha inoltre rilasciato una patch isolata che risolve CVE-2025-24434. Questo consente ai commercianti di applicare la correzione in isolamento con meno rischi di ritardo a causa di potenziali problemi di integrazione.

Applica gli ultimi aggiornamenti di sicurezza il prima possibile. In caso contrario, si sarà vulnerabili a questi problemi di sicurezza e Adobe disporrà di mezzi limitati per contribuire a risolvere ulteriormente il problema.

NOTE
In caso di problemi durante l'applicazione della patch di sicurezza o della patch isolata, contattare il supporto tecnico.

Prodotti e versioni interessati

Adobe Commerce su infrastruttura cloud, Adobe Commerce on-premise e Magento Open Source:

  • 2.4.8-beta1 e versioni precedenti
  • 2.4.7-p3 e versioni precedenti
  • 2.4.6-p8 e versioni precedenti
  • 2.4.5-p10 e versioni precedenti
  • 2.4.4-p11 e versioni precedenti

Soluzione per Adobe Commerce on Cloud, Adobe Commerce on-premise e software Magento Open Source

Per risolvere la vulnerabilità dei prodotti e delle versioni interessati, è necessario applicare la patch isolata CVE-2025-24434, a seconda della versione di Adobe Commerce/Magento Open Source in uso.

Dettagli patch isolata

Utilizza le seguenti patch isolate allegate, a seconda della versione di Adobe Commerce/Magento Open Source in uso:

Per la versione 2.4.8-beta1:

Per le versioni 2.4.7, 2.4.7-p1, 2.4.7-p2, 2.4.7-p3:

Per le versioni 2.4.6, 2.4.6-p1, 2.4.6-p2, 2.4.6-p3, 2.4.6-p4, 2.4.6-p5, 2.4.6-p6, 2.4.6-p7, 2.4.6-p8:

Per le versioni 2.4.5, 2.4.5-p1, 2.4.5-p2, 2.4.5-p3, 2.4.5-p4, 2.4.5-p5, 2.4.5-p6, 2.4.5-p7, 2.4.5-p8, 2.4.5-p9, 2.4.5-p10:

Per le versioni 2.4.4, 2.4.4-p1, 2.4.4-p2, 2.4.4-p3, 2.4.4-p4, 2.4.4-p5, 2.4.4-p6, 2.4.4-p7, 2.4.4-p8, 2.4.4-p9, 2.4.4-p10, 2.4.4-p11:

Come applicare il cerotto isolato

Decomprimi il file e vedi Come applicare una patch del compositore fornita da Adobe nella Knowledge Base di supporto per le istruzioni.

Solo per gli esercenti di Adobe Commerce on Cloud: come stabilire se le patch isolate sono state applicate

Considerando che non è possibile verificare facilmente se il problema è stato corretto, è possibile verificare se la patch isolata CVE-2025-24434 è stata applicata correttamente.

NOTE
A tale scopo, eseguire la procedura seguente, utilizzando il file VULN-27015-2.4.7_COMPOSER.patch come esempio:

  1. Installare lo strumento Patch di qualità.

  2. Esegui il comando:

    cve-2024-34102-tell-if-patch-apply-code

  3. Dovresti visualizzare un output simile a questo, dove VULN-27015 restituisce lo stato Applicato:

    ║ Id            │ Title                                                        │ Category        │ Origin                 │ Status      │ Details                                          ║ ║ N/A           │ ../m2-hotfixes/VULN-27015-2.4.7_COMPOSER_patch.patch      │ Other           │ Local                  │ Applied     │ Patch type: Custom

Aggiornamenti di sicurezza

Aggiornamenti di sicurezza disponibili per Adobe Commerce:

Pagina precedenteHotfix per il pacchetto di compatibilità di Adobe Commerce 2.4.7-p4 HIPAA 1.2.0
Pagina successivaModifiche non compatibili con le versioni precedenti per GraphQL "placeOrder" API in Adobe Commerce 2.4.6-p8

Commerce