その他のリリース情報

これらの機能のコードは四半期ごとのリリースにバンドルされていますが、これらのプロジェクトの一部(例:Progressive Web Application(PWA) Studio)も個別にリリースされています。 これらのプロジェクトのバグ修正は、各プロジェクトのドキュメントで利用できる別のプロジェクト固有のリリース情報に記載されています。

ハイライト

このリリースのハイライトは次のとおりです。

セキュリティの大幅な強化

このリリースには、15 を超えるセキュリティ修正と platform セキュリティの改善が含まれています。 すべてのセキュリティ修正は 2.4.0-p1 および 2.3.6 に移植されています。

リモートコード実行(RCE)およびクロスサイトスクリプティング(XSS)の脆弱性を閉じるのに役立つ 15 を超えるセキュリティ強化

これらの問題に関連する確認された攻撃は、今日まで行われていません。 ただし、特定の脆弱性が悪用されて、顧客情報にアクセスしたり、管理者のセッションを引き継いだりする可能性があります。 これらの問題のほとんどは、攻撃者が最初に管理者へのアクセス権を取得する必要があります。 そのため、IP許可リストに加える、 二要素認証、VPN の使用、/admin ではなく一意の場所の使用、適切なパスワードハイジーンなど、管理者を守るために必要なすべての手順を実行してください。 修正された問題については、Magento可能なセキュリティ更新プログラムを参照してください。

その他のセキュリティ機能強化

このリリースのセキュリティの改善点は次のとおりです。

  • CAPTCHA 保護が次の製品領域に追加されました。

    • ストアフロントページと REST およびGraphQL エンドポイントの への注文
    • 支払いに関連する REST およびGraphQL エンドポイント。

    これらの追加のページに対する CAPTCHA 保護は、デフォルトで無効になっています。 CAPTCHA でカバーされる他のページと同様に、管理者で有効にすることができます。 この保護は、カード攻撃から店舗を保護するためのアンチブルートフォースメカニズムとして追加されています。 CAPTCHA を参照してください。

  • cookie の SameSite 属性のサポート。 新しい cookie 分類システムのGoogle Chrome適用をサポートするために、cookie を処理するアプリケーションクラスを更新して、SameSite cookie 属性をサポートするようになりました。 この属性はデフォルトで Lax に設定されていますが、明示的に上書きできます。

  • セキュリティ スキャン ツールの強化。 Adobeは、デジタルスキミング防止のリーダーである Sanguine Security と提携し、8,700 件を超える脅威情報のデータベースを Security Scan Tool に統合しました。 このパートナーシップにより、マーチャントは、マルウェアのプロアクティブな検出と誤検出の削減を通じて、サイトのセキュリティステータスに関するリアルタイムのインサイトを取得できます。 マーチャントは、https://account.magento.com/scannerにアクセスしてツールに登録できます。 詳しくは、 セキュリティ強化スキャンツールでストアフロントを保護するのブログ投稿を参照してください。

NOTE
2.3.2 リリース以降、アドビは、外部関係者からアドビに報告された各セキュリティバグに対して、インデックス付きの Common Vulnerability and Exposures (CVE)番号を割り当て、公開します。 これにより、ユーザーはデプロイメント内の対処されていない脆弱性をより簡単に特定できます。 CVE 識別子について詳しくは、CVE を参照してください。