Adobe Commerce 2.4.6 보안 패치 릴리스 노트

TinyMCE 업그레이드—이제 관리자의 WYSIWYG 편집기에서 최신 버전의 TinyMCE 종속성(7.3​)을 사용합니다.

• TinyMCE 7.3은 향상된 사용자 경험, 향상된 공동 작업 및 향상된 효율성을 제공합니다. TinyMCE 5는 2.4.8 릴리스 라인에서 제거되었습니다​.

• TinyMCE 5.10에서 보안 취약성(CVE-2024-38357)이 보고되었으므로 현재 지원되는 모든 릴리스 라인에 대해 종속성도 업그레이드되었으며 모든 2024년 10월 보안 패치에 포함되었습니다.

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Require.js 업그레이드—이제 Adobe Commerce에서 최신 버전의 Require.js(2.3.7)를 사용합니다.

• Require.js 2.3.6에 보안 취약성(CVE-2024-38999)이 보고되었으므로 현재 지원되는 모든 릴리스 라인에 대해 종속성도 업그레이드되었으며 모든 2024년 10월 보안 패치에 포함되었습니다.

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

one-time passwords​ 에 대한 ​속도 제한—이제 two-factor authentication (2FA) one-time password (OTP) 유효성 검사에서 속도 제한을 사용하도록 설정하는 다음 새 시스템 구성 옵션을 사용할 수 있습니다.

• 2단계 인증에 대한 다시 시도 제한
• 2단계 인증 잠금 시간(초)

Adobe은 무차별 대입 공격을 완화하기 위해 재시도 횟수를 제한하기 위해 2FA OTP 유효성 검사에 대한 임계값을 설정하는 것을 권장합니다. 자세한 내용은 구성 참조 안내서 ​의 보안 > 2FA를 참조하십시오.

암호화 키 회전—이제 암호화 키를 변경하는 데 새 CLI 명령을 사용할 수 있습니다. 자세한 내용은 암호화 키 순환 문제 해결: CVE-2024-34102 기술 문서를 참조하십시오.

CVE-2020-27511 ​에 대한 수정 사항 - Prototype.js 보안 취약점을 해결합니다.

CVE-2024-39397🔗 ​에 대한 수정 사항 - 원격 코드 실행 보안 취약점을 해결합니다. 이 취약성은 온-프레미스 또는 자체 호스팅 배포용 Apache 웹 서버를 사용하는 가맹점에 영향을 줍니다. 이 수정 사항은 격리된 패치로도 사용할 수 있습니다. 자세한 내용은 Adobe Commerce에 사용 가능한 보안 업데이트 - APSB24-61 기술 자료 문서를 참조하십시오.

PageBuilder 편집기에서 Google 맵이 제대로 렌더링되지 않는 JavaScript 오류를 해결하기 위한 핫픽스입니다. 자세한 내용은 모든 Adobe Commerce 버전에서 Google Maps 액세스 손실에 대한 수정된 패치 기술 자료 문서를 참조하십시오.

CVE-2024-34102과 관련된 JSON 웹 토큰(JWT) 유효성 검사 문제를 해결하기 위한 핫픽스. 자세한 내용은 Adobe Commerce-APSB24-40에 사용 가능한 보안 업데이트 기술 자료 문서를 참조하십시오.

SRI(Subresource Integrity) 지원이 추가됨 결제 페이지에서 스크립트 무결성을 확인하기 위한 PCI 4.0 요구 사항을 준수합니다. SRI(Subresource Integrity) 지원은 로컬 파일 시스템에 있는 모든 JavaScript 자산에 무결성 해시를 제공합니다. 기본 SRI 기능은 관리자 및 상점 영역의 결제 페이지에서만 구현됩니다. 그러나 판매자는 기본 구성을 다른 페이지로 확장할 수 있습니다. Commerce PHP 개발자 안내서 ​의 하위 리소스 무결성을 참조하십시오.

CSP(콘텐츠 보안 정책)에 대한 변경 사항—PCI 4.0 요구 사항을 준수하도록 Adobe Commerce CSP(콘텐츠 보안 정책)에 대한 구성 업데이트 및 개선 사항입니다. 자세한 내용은 Commerce PHP 개발자 안내서 ​의 콘텐츠 보안 정책을 참조하십시오.

• Commerce 관리 및 상점 영역의 결제 페이지에 대한 기본 CSP 구성은 이제 restrict 모드입니다. 다른 모든 페이지의 경우 기본 구성은 report-only 모드입니다. 2.4.7 이전 릴리스에서 CSP는 모든 페이지에 대해 report-only 모드로 구성되었습니다.

• CSP에서 인라인 스크립트를 실행할 수 있도록 임시 공급자를 추가했습니다. nonce 공급자는 각 요청에 대해 고유한 nonce 문자열을 쉽게 생성할 수 있습니다. 그러면 문자열이 CSP 헤더에 연결됩니다.

• 관리자의 주문 만들기 페이지와 상점 첫 화면의 체크아웃 페이지에 대한 CSP 위반을 보고하도록 사용자 지정 URI를 구성하는 옵션이 추가되었습니다. 관리자 또는 URI를 config.xml 파일에 추가하여 구성을 추가할 수 있습니다.

  note note
  NOTE
  CSP 구성을 restrict 모드로 업데이트하면 Admin 및 Storefront의 결제 페이지에서 기존 인라인 스크립트가 차단될 수 있으며, 이로 인해 페이지가 로드될 때 다음 브라우저 오류가 발생합니다. Refused to execute inline script because it violates the following Content Security Policy directive: "script-src. 필수 스크립트를 허용하도록 화이트리스트 구성을 업데이트하여 이러한 오류를 수정합니다. Commerce PHP 개발자 안내서 ​의 문제 해결을 참조하십시오.

생성되지 않은 캐시 키의 동작을 변경합니다:

• 이제 블록에 대해 생성되지 않은 캐시 키에는 자동으로 생성되는 키의 접두사와 다른 접두사가 포함됩니다. (생성되지 않은 캐시 키는 템플릿 지시문 구문 또는 setCacheKey 또는 setData 메서드를 통해 설정된 키입니다.)
• 이제 블록의 생성되지 않은 캐시 키에는 문자, 숫자, 하이픈(-) 및 밑줄(_)만 사용해야 합니다.

자동 생성된 쿠폰 코드 수에 대한 제한. 이제 Commerce에서 자동으로 생성되는 쿠폰 코드 수를 제한합니다. 기본 최대값은 250,000입니다. 판매자는 새 Code Quantity Limit 구성 옵션(Stores > Settings:Configuration > Customers > Promotions)을 사용하여 이 새 제한을 제어할 수 있습니다.

Varnish 캐시 7.3 지원. 이 릴리스는 최신 버전의 Varnish Cache 7.3과 호환됩니다. Adobe 6.0.x 및 7.2.x 버전과의 호환성은 유지되지만, Adobe Commerce 2.4.6-p1은 Varnish Cache 버전 7.3 또는 버전 6.0 LTS와만 사용하는 것이 좋습니다.

RabbitMQ 3.11 지원. 이 릴리스는 RabbitMQ 3.11의 최신 버전과 호환됩니다. 호환성은 2023년 8월까지 지원되는 RabbitMQ 3.9와 유지되지만, Adobe은 RabbitMQ 3.11과만 Adobe Commerce 2.4.6-p1을 사용하는 것을 권장합니다.

JavaScript 라이브러리. 오래된 JavaScript 라이브러리가 moment.js 라이브러리(v2.29.4), jQuery UI 라이브러리(v1.13.2) 및 jQuery 유효성 검사 플러그인 라이브러리(v1.19.5)를 비롯한 최신 부 또는 패치 버전으로 업그레이드되었습니다.

nginx.sample 파일이 실수로 fastcgi_pass의 값을 fastcgi_backend에서 php-fpm:9000(으)로 수정하는 변경 내용으로 업데이트되었습니다. 이 변경 사항은 안전하게 되돌리거나 무시할 수 있습니다.

B2B 보안 패키지에 대한 종속성이 없으면 B2B 확장을 1.4.0으로 설치하거나 업그레이드할 때 다음 설치 오류가 발생합니다.

Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - Root composer.json requires magento/extension-b2b 1.4.0 -> satisfiable by magento/extension-b2b[1.4.0].
    - magento/extension-b2b 1.4.0 requires magento/security-package-b2b 1.0.4-beta1 -> found magento/security-package-b2b[1.0.4-beta1] but it does not match your minimum-stability.

Installation failed, reverting ./composer.json and ./composer.lock to their original content.

안정성 태그가 있는 B2B 보안 패키지에 대한 수동 종속성을 추가하여 이 문제를 해결할 수 있습니다. 자세한 내용은 B2B 릴리스 정보를 참조하세요.