설명서Commerce릴리스 정보

Adobe Commerce 2.4.4 보안 패치 릴리스 노트

Last update: Tue Oct 08 2024 00:00:00 GMT+0000 (Coordinated Universal Time)
  • 주제:

작성 대상:

  • 경험
  • 관리자
  • 개발자

이러한 보안 패치 릴리스 노트는 Adobe Commerce 배포의 보안을 강화하기 위해 업데이트를 캡처합니다. 정보에는 다음이 포함되지만 이에 국한되지 않습니다.

  • 보안 버그 수정
  • 보안 강조는 보안 패치에 포함된 개선 사항 및 업데이트에 대한 자세한 내용을 제공합니다
  • 알려진 문제
  • 필요한 경우 추가 패치를 적용하는 지침
  • 릴리스에 포함된 핫픽스에 대한 정보

보안 패치 릴리스에 대해 자세히 알아보기:

2.4.4-p11

Adobe Commerce 2.4.4-p11 보안 릴리스는 이전 릴리스 2.4.4에서 식별된 취약점에 대한 보안 버그 수정 사항을 제공합니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB24-73을 참조하십시오.

NOTE
이 보안 패치를 설치한 후 Adobe Commerce B2B 판매자도 최신 호환 가능한 B2B 보안 패치 릴리스로 업데이트해야 합니다. B2B 릴리스 정보를 참조하세요.

강조 표시

이번 릴리스에는 다음과 같은 주요 사항이 포함됩니다.

  • TinyMCE 업그레이드—이제 관리자의 WYSIWYG 편집기에서 최신 버전의 TinyMCE 종속성(7.3​)을 사용합니다.

    • TinyMCE 7.3은 향상된 사용자 경험, 향상된 공동 작업 및 향상된 효율성을 제공합니다. TinyMCE 5는 2.4.8 릴리스 라인에서 제거되었습니다​.

    • TinyMCE 5.10에서 보안 취약성(CVE-2024-38357)이 보고되었으므로 현재 지원되는 모든 릴리스 라인에 대해 종속성도 업그레이드되었으며 모든 2024년 10월 보안 패치에 포함되었습니다.

      • 2.4.7-p3
      • 2.4.6-p8
      • 2.4.5-p10
      • 2.4.4-p11

  • Require.js 업그레이드—이제 Adobe Commerce에서 최신 버전의 Require.js(2.3.7)를 사용합니다.

    • Require.js 2.3.6에 보안 취약성(CVE-2024-38999)이 보고되었으므로 현재 지원되는 모든 릴리스 라인에 대해 종속성도 업그레이드되었으며 모든 2024년 10월 보안 패치에 포함되었습니다.

      • 2.4.7-p3
      • 2.4.6-p8
      • 2.4.5-p10
      • 2.4.4-p11
NOTE
이러한 업데이트는 이전 버전과 호환되며 사용자 지정 및 확장에 영향을 주지 않습니다​.

2.4.4-p10

Adobe Commerce 2.4.4-p10 보안 릴리스는 이전 릴리스 2.4.4에서 식별된 취약점에 대한 보안 버그 수정 사항을 제공합니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB24-61을 참조하십시오.

강조 표시

이번 릴리스에는 다음과 같은 주요 사항이 포함됩니다.

  • one-time passwords​ 에 대한 ​속도 제한—이제 two-factor authentication (2FA) one-time password (OTP) 유효성 검사에서 속도 제한을 사용하도록 설정하는 다음 새 시스템 구성 옵션을 사용할 수 있습니다.

    • 2단계 인증에 대한 다시 시도 제한
    • 2단계 인증 잠금 시간(초)

    Adobe은 무차별 대입 공격을 완화하기 위해 재시도 횟수를 제한하기 위해 2FA OTP 유효성 검사에 대한 임계값을 설정하는 것을 권장합니다. 자세한 내용은 구성 참조 안내서 ​의 보안 > 2FA를 참조하십시오.

  • 암호화 키 회전—이제 암호화 키를 변경하는 데 새 CLI 명령을 사용할 수 있습니다. 자세한 내용은 암호화 키 순환 문제 해결: CVE-2024-34102 기술 문서를 참조하십시오.

  • CVE-2020-27511 ​에 대한 수정 사항 - Prototype.js 보안 취약점을 해결합니다.

  • CVE-2024-39397🔗 ​에 대한 수정 사항 - 원격 코드 실행 보안 취약점을 해결합니다. 이 취약성은 온-프레미스 또는 자체 호스팅 배포용 Apache 웹 서버를 사용하는 가맹점에 영향을 줍니다. 이 수정 사항은 격리된 패치로도 사용할 수 있습니다. 자세한 내용은 Adobe Commerce에 사용 가능한 보안 업데이트 - APSB24-61 기술 자료 문서를 참조하십시오.

이 릴리스에 포함된 핫픽스

이 릴리스에는 다음 핫픽스가 포함됩니다.

2.4.4-p9

Adobe Commerce 2.4.4-p9 보안 릴리스는 이전 릴리스 2.4.4에서 식별된 취약점에 대한 보안 버그 수정을 제공합니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB24-40을 참조하십시오.

CVE-2024-34102용 핫픽스 적용

IMPORTANT
CVE-2024-34102과(와) 관련된 마지막 통신에 대한 긴급 업데이트입니다. Adobe은 Adobe Commerce 판매자를 대상으로 하는 매우 제한적인 공격에서 CVE-2024-34102 이 야생에서 악용되었음을 인지하고 있습니다. 취약성을 해결하기 위한 조치를 취하지 않았다면 즉시 수행하십시오.

2024년 6월 11일에 릴리스된 보안 패치 또는 2024년 6월 28일에 릴리스된 격리된 패치를 적용하지 않은 고객의 경우:

옵션 1:

  1. 2024년 6월 11일에 릴리스된 보안 패치 중 하나를 적용합니다.

  2. 2024년 7월 17일에 릴리스된 핫픽스를 적용합니다.

  3. 암호화 키를 회전합니다.

옵션 2:

  1. 격리된 패치를 적용합니다.

  2. 암호화 키를 회전합니다.

2024년 6월 11일에 릴리스된 보안 패치 또는 2024년 6월 28일에 릴리스된 격리된 패치를 이미 적용한 고객의 경우:

  1. 2024년 7월 17일에 릴리스된 핫픽스를 적용합니다.

  2. 암호화 키를 회전합니다.

이미 1) 2024년 6월 11일에 릴리스된 보안 패치를 적용했거나, 2) 2024년 6월 28일에 릴리스된 격리된 패치를 적용했거나, 3) 암호화 키를 회전한 고객의 경우:

  1. 2024년 7월 17일에 릴리스된 핫픽스를 적용합니다.

플랫폼 업그레이드

  • MariaDB 10.5 지원. 이 패치 릴리스는 MariaDB 버전 10.5와의 호환성을 제공합니다. Adobe CommerceAdobe 는 여전히 MariaDB 버전 10.4와 호환되지만, MariaDB 10.4 유지 보수는 2024년 6월 18일에 종료되므로 Adobe Commerce 2.4.4-p9 및 예정된 모든 2.4.4 보안 전용 패치 릴리스를 MariaDB 버전 10.5와만 사용하는 것이 좋습니다.

강조 표시

  • SRI(Subresource Integrity) 지원이 추가됨 결제 페이지에서 스크립트 무결성을 확인하기 위한 PCI 4.0 요구 사항을 준수합니다. SRI(Subresource Integrity) 지원은 로컬 파일 시스템에 있는 모든 JavaScript 자산에 무결성 해시를 제공합니다. 기본 SRI 기능은 관리자 및 상점 영역의 결제 페이지에서만 구현됩니다. 그러나 판매자는 기본 구성을 다른 페이지로 확장할 수 있습니다. Commerce PHP 개발자 안내서 ​의 하위 리소스 무결성을 참조하십시오.

  • CSP(콘텐츠 보안 정책)에 대한 변경 사항—PCI 4.0 요구 사항을 준수하도록 Adobe Commerce CSP(콘텐츠 보안 정책)에 대한 구성 업데이트 및 개선 사항입니다. 자세한 내용은 Commerce PHP 개발자 안내서 ​의 콘텐츠 보안 정책을 참조하십시오.

    • Commerce 관리 및 상점 영역의 결제 페이지에 대한 기본 CSP 구성은 이제 restrict 모드입니다. 다른 모든 페이지의 경우 기본 구성은 report-only 모드입니다. 2.4.7 이전 릴리스에서 CSP는 모든 페이지에 대해 report-only 모드로 구성되었습니다.

    • CSP에서 인라인 스크립트를 실행할 수 있도록 임시 공급자를 추가했습니다. nonce 공급자는 각 요청에 대해 고유한 nonce 문자열을 쉽게 생성할 수 있습니다. 그러면 문자열이 CSP 헤더에 연결됩니다.

    • 관리자의 주문 만들기 페이지와 상점 첫 화면의 체크아웃 페이지에 대한 CSP 위반을 보고하도록 사용자 지정 URI를 구성하는 옵션이 추가되었습니다. 관리자 또는 URI를 config.xml 파일에 추가하여 구성을 추가할 수 있습니다.

      note note
      NOTE
      CSP 구성을 restrict 모드로 업데이트하면 Admin 및 Storefront의 결제 페이지에서 기존 인라인 스크립트가 차단될 수 있으며, 이로 인해 페이지가 로드될 때 다음 브라우저 오류가 발생합니다. Refused to execute inline script because it violates the following Content Security Policy directive: "script-src. 필수 스크립트를 허용하도록 화이트리스트 구성을 업데이트하여 이러한 오류를 수정합니다. Commerce PHP 개발자 안내서 ​의 문제 해결을 참조하십시오.

2.4.4-p8

Adobe Commerce 2.4.4-p8 보안 릴리스는 Adobe Commerce 2.4.4 배포에 대한 보안 버그 수정 사항을 제공합니다. 이러한 업데이트는 이전 릴리스에서 식별된 취약점을 수정합니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB24-18을 참조하십시오.

2.4.4-p7

Adobe Commerce 2.4.4-p7 보안 릴리스는 이전 릴리스에서 식별된 취약점에 대한 보안 버그 수정 사항을 제공합니다. 이 릴리스에는 최신 보안 모범 사례를 준수하는 개선된 보안 기능도 포함되어 있습니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB24-03을 참조하십시오.

강조 표시

이번 릴리스에는 다음과 같은 두 가지 중요한 보안 개선 사항이 도입되었습니다.

  • 생성되지 않은 캐시 키의 동작을 변경합니다:

    • 이제 블록에 대해 생성되지 않은 캐시 키에는 자동으로 생성되는 키의 접두사와 다른 접두사가 포함됩니다. (생성되지 않은 캐시 키는 템플릿 지시문 구문 또는 setCacheKey 또는 setData 메서드를 통해 설정된 키입니다.)
    • 이제 블록의 생성되지 않은 캐시 키에는 문자, 숫자, 하이픈(-) 및 밑줄(_)만 사용해야 합니다.

  • 자동 생성된 쿠폰 코드 수에 대한 제한. 이제 Commerce에서 자동으로 생성되는 쿠폰 코드 수를 제한합니다. 기본 최대값은 250,000입니다. 판매자는 새 Code Quantity Limit 구성 옵션(Stores > Settings:Configuration > Customers > Promotions)을 사용하여 이 새 제한을 제어할 수 있습니다.

2.4.4-p6

Adobe Commerce 2.4.4-p6 보안 릴리스는 이전 릴리스에서 식별된 취약점에 대한 보안 버그 수정 사항을 제공합니다. 이 릴리스에는 최신 보안 모범 사례를 준수하는 개선된 보안 기능도 포함되어 있습니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB23-50을 참조하십시오.

이 릴리스에는 최신 보안 모범 사례를 준수하는 개선된 보안 기능도 포함되어 있습니다.

강조 표시

이 릴리스에서는 {BASE-URL}/page_cache/block/esi HTTP 끝점과 관련된 위험을 완화하는 데 도움이 되는 새로운 전체 페이지 캐시 구성 설정을 도입했습니다. 이 끝점은 Commerce 레이아웃 핸들과 블록 구조에서 제한되지 않고 동적으로 로드된 콘텐츠 조각을 지원합니다. 새 Handles Param 구성 설정은 API당 허용되는 최대 핸들 수를 결정하는 이 끝점의 handles 매개 변수의 값을 설정합니다. 이 속성의 기본값은 100입니다. 판매자는 관리자(Stores > Settings: Configuration > System > Full Page Cache > Handles Param)에서 이 값을 변경할 수 있습니다.

알려진 문제

문제: repo.magento.com에서 작성기가 다운로드하는 동안 Adobe Commerce에 잘못된 체크섬 오류가 표시되고 패키지 다운로드가 중단됩니다. 이 문제는 프리릴리스 중에 제공된 릴리스 패키지를 다운로드하는 동안 발생할 수 있으며 이는 magento/module-page-cache 패키지를 다시 패키징했기 때문입니다.

해결 방법: 다운로드하는 동안 이 오류가 표시되는 판매자는 다음 단계를 수행할 수 있습니다.

  1. 프로젝트 내에 /vendor 디렉터리가 있으면 삭제합니다.
  2. bin/magento composer update magento/module-page-cache 명령을 실행합니다. 이 명령은 page cache 패키지만 업데이트합니다.

체크섬 문제가 계속되면 bin/magento composer update 명령을 다시 실행하여 모든 패키지를 업데이트하기 전에 composer.lock 파일을 제거하십시오.

2.4.4-p5

Adobe Commerce 2.4.4-p5 보안 릴리스는 이전 릴리스에서 식별된 취약점에 대한 보안 버그 수정 사항을 제공합니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB23-42을 참조하십시오.

CVE-2022-31160용 핫픽스 적용

jQuery-UI 라이브러리 버전 1.13.1에는 여러 버전의 Adobe Commerce 및 Magento Open Source에 영향을 주는 알려진 보안 취약점(CVE-2022-31160)이 있습니다. 이 라이브러리는 Adobe Commerce 및 Magento Open Source 2.4.4, 2.4.5, 2.4.6의 종속성입니다. 영향을 받는 배포를 실행하는 판매자는 jQuery UI 보안 취약점 CVE-2022-31160 수정 사항 for 2.4.4, 2.4.5 및 2.4.6 릴리스 기술 자료 문서에 지정된 패치를 적용해야 합니다.

2.4.4-p4

Adobe Commerce 2.4.4-p4 보안 릴리스는 이전 릴리스에서 식별된 취약점에 대한 보안 버그 수정 사항을 제공합니다. 또한 이번 릴리스에는 최신 보안 모범 사례를 통해 규정 준수를 개선하기 위한 보안 개선 사항 및 플랫폼 업그레이드가 포함되어 있습니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB23-35을 참조하십시오.

CVE-2022-31160용 핫픽스 적용

jQuery-UI 라이브러리 버전 1.13.1에는 여러 버전의 Adobe Commerce 및 Magento Open Source에 영향을 주는 알려진 보안 취약점(CVE-2022-31160)이 있습니다. 이 라이브러리는 Adobe Commerce 및 Magento Open Source 2.4.4, 2.4.5, 2.4.6의 종속성입니다. 영향을 받는 배포를 실행하는 판매자는 jQuery UI 보안 취약점 CVE-2022-31160 수정 사항 for 2.4.4, 2.4.5 및 2.4.6 릴리스 기술 자료 문서에 지정된 패치를 적용해야 합니다.

강조 표시

isEmailAvailable GraphQL 쿼리 및 (V1/customers/isEmailAvailable) REST 끝점의 기본 동작이 변경되었습니다. 기본적으로 이제 API는 항상 true을(를) 반환합니다. 판매자는 데이터베이스에 전자 메일이 없는 경우 true을(를) 반환하고 있는 경우 false을(를) 반환하는 원래 동작을 사용할 수 있습니다.

플랫폼 업그레이드

이 릴리스에 대한 플랫폼 업그레이드는 최신 보안 모범 사례를 통해 규정 준수를 개선합니다.

  • Varnish 캐시 7.3 지원. 이 릴리스는 최신 버전의 Varnish Cache 7.3과 호환됩니다. Adobe 6.0.x 및 7u.2.x 버전과의 호환성은 유지되지만, Adobe Commerce 2.4.4-p4는 Varnish Cache 버전 7.3 또는 버전 6.0 LTS와만 사용하는 것이 좋습니다.

  • RabbitMQ 3.11 지원. 이 릴리스는 RabbitMQ 3.11의 최신 버전과 호환됩니다. RabbitMQ 3.9와의 호환성은 2023년 8월까지 지원되지만, Adobe은 RabbitMQ 3.11에서만 Adobe Commerce 2.4.4-p4를 사용하는 것을 권장합니다.

  • JavaScript 라이브러리. 오래된 JavaScript 라이브러리가 moment.js 라이브러리(v2.29.4), jQuery UI 라이브러리(v1.13.2) 및 jQuery 유효성 검사 플러그인 라이브러리(v1.19.5)를 비롯한 최신 부 또는 패치 버전으로 업그레이드되었습니다.

2.4.4-p3

Adobe Commerce 2.4.4-p3 보안 릴리스는 이전 릴리스에서 식별된 취약점에 대한 보안 버그 수정 사항을 제공합니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB23-17을 참조하십시오.

2.4.4-p2

Adobe Commerce 2.4.4-p2 보안 릴리스는 이전 릴리스에서 식별된 취약점에 대한 수정 사항을 제공합니다. 한 가지 수정 사항에는 새 구성 설정 생성이 포함됩니다. 전자 메일이 변경된 경우 전자 메일 확인 필요 구성 설정을 사용하면 관리자가 전자 메일 주소를 변경할 때 전자 메일 확인을 요구할 수 있습니다.

보안 버그 수정에 대한 최신 정보는 Adobe 보안 게시판 APSB22-48을 참조하십시오.

AC-3022.patch를 적용하여 DHL을 배송 운송업체로 계속 제공

DHL은 스키마 버전 6.2를 도입했으며 조만간 스키마 버전 6.0을 더 이상 사용하지 않을 예정입니다. DHL 통합을 지원하는 Adobe Commerce 2.4.4 및 이전 버전은 버전 6.0만 지원합니다. 이러한 릴리스를 배포하는 판매자는 가능한 한 빨리 AC-3022.patch을(를) 적용하여 DHL을 운송 회사로 계속 제공해야 합니다. 패치 다운로드 및 설치에 대한 자세한 내용은 DHL을 계속 제공하려면 패치 적용 기술 자료 문서를 참조하십시오.

2.4.4-p1

Adobe Commerce 2.4.4-p1 보안 릴리스는 이전 릴리스에서 식별된 취약점에 대한 수정 사항을 제공합니다. 또한 이번 릴리스에는 최신 보안 모범 사례를 준수하도록 개선된 보안 기능도 포함되어 있습니다.

보안 버그 수정에 대한 최신 정보는 보안 게시판 Adobe를 참조하십시오.t

AC-3022.patch을(를) 적용하여 DHL을 배송 운송업체로 계속 제공

DHL은 스키마 버전 6.2를 도입했으며 조만간 스키마 버전 6.0을 더 이상 사용하지 않을 예정입니다. DHL 통합을 지원하는 Adobe Commerce 2.4.4 및 이전 버전은 버전 6.0만 지원합니다. 이러한 릴리스를 배포하는 판매자는 가능한 한 빨리 AC-3022.patch을(를) 적용하여 DHL을 운송 회사로 계속 제공해야 합니다. 패치 다운로드 및 설치에 대한 자세한 내용은 DHL을 계속 제공하려면 패치 적용 기술 자료 문서를 참조하십시오.

강조 표시

이 릴리스의 보안 개선 사항은 다음을 포함하여 최신 보안 모범 사례를 준수하도록 개선합니다.

  • ACL 리소스가 인벤토리에 추가되었습니다.
  • 인벤토리 템플릿 보안이 향상되었습니다.

알려진 문제

문제: 2.4.4-p1 패키지에서 실행할 때 웹 API 및 통합 테스트에 이 오류가 표시됩니다. [2022-06-14T16:58:23.694Z] PHP Fatal error: Declaration of Magento\TestFramework\ErrorLog\Logger::addRecord(int $level, string $message, array $context = []): bool must be compatible with Monolog\Logger::addRecord(int $level, string $message, array $context = [], ?Monolog\DateTimeImmutable $datetime = null): bool in /var/www/html/dev/tests/integration/framework/Magento/TestFramework/ErrorLog/Logger.php on line 69. 해결 방법: require monolog/monolog:2.6.0 명령을 실행하여 이전 버전의 Monolog를 설치하십시오.

문제: 판매자는 Adobe Commerce 2.4.4에서 Adobe Commerce 2.4.4-p1로 업그레이드하는 동안 패키지 버전 다운그레이드 알림을 볼 수 있습니다. 이러한 메시지는 무시할 수 있습니다. 패키지 버전의 불일치는 패키지 생성 중 예외 항목에서 발생합니다. 제품 기능은 영향을 받지 않았습니다. 영향을 받는 시나리오 및 해결 방법에 대한 자세한 내용은 2.4.4에서 2.4.4-p1🔗 기술 자료 문서로 업그레이드한 후 다운그레이드된 패키지를 참조하십시오.

recommendation-more-help
1d4eef6c-fef1-4e61-85eb-b58d7b9ac29f