MC-43048__set_rate_limits__2.4.3.patch toepassen om het probleem met de beperking van de API-snelheid aan te pakken

Deze hotfix biedt een oplossing voor het probleem waarbij web-API's geen aanvragen kunnen verwerken die meer dan 20 items in een array bevatten. Dit probleem betreft implementaties met Magento Open Source 2.4.3, Adobe Commerce 2.4.3 of 2.3.7-p1. Ingebouwde snelheidsbeperking werd toegevoegd aan deze versies om ontkenning-van-dienst (Dos) aanvallen te verhinderen, en het standaardmaximum werd geplaatst aan 20. Deze patch herstelt de standaardlimiet tot een hogere waarde. Als u vermoedt dat uw winkel een DoS-aanval ondervindt, raadt Adobe aan de standaardinvoerlimieten te verlagen tot een lagere waarde om het aantal bronnen te beperken dat kan worden aangevraagd. Zie het Web API niet verzoeken met meer dan 20 punten in serieartikel van de Kennisbank kan verwerken.

AC-384__Fix_Incompatible_PHP_Method__2.4.3_ce.patch toepassen om PHP fatal error on upgrade aan te pakken

De volgende fatale fout kan optreden tijdens de upgrade naar Adobe Commerce 2.4.3:

PHP Fatal error: Uncaught Error: Call to undefined function Magento\Framework\Filesystem\Directory\str_contains() in [...]/magento/vendor/magento/framework/Filesystem/Directory/DenyListPathValidator.php:74

Deze fout is het gevolg van het gebruik van de functie str_contains , een PHP 8.x functie. Adobe Commerce 2.4.3 ondersteunt PHP 8.x niet. Deze hotfix vervangt deze functie door een ondersteunde PHP 7.x functie. Zie de verbetering 2.4.3 van Adobe Commerce, 2.3.7-p1 PHP Snelle foutHotfixhet artikel van de Kennisbank.

Toepassen op AC-3022.patch om DHL als scheepvaartmaatschappij te blijven aanbieden

DHL heeft schemaversie 6.2 geïntroduceerd en zal schemaversie 6.0 in de nabije toekomst verwerpen. Adobe Commerce 2.4.4 en eerdere versies die de integratie van DHL steunen slechts versie 6.0. Handelaren die deze releases implementeren, moeten AC-3022.patch zo snel mogelijk toepassen om DHL als scheepvaartmaatschappij te blijven aanbieden. Zie een flard toepassen om DHL als het verschepen artikel van de 1} Kennisbank van de drager voor informatie over het downloaden en het installeren van het flard te blijven aanbieden.

Hooglichten

In deze release ziet u de volgende hooglichten.

Belangrijke beveiligingsverbeteringen

Deze release bevat 33 beveiligingsoplossingen en verbeteringen op het gebied van platformbeveiliging. Veel van deze beveiligingscorrecties zijn teruggezet naar 2.4.2-p2 en 2.3.7-p1.

Drieëndertig beveiligingsverbeteringen waarmee kwetsbaarheden voor externe code-uitvoering (RCE) en XSS (cross-site scripting) kunnen worden afgesloten

Er zijn tot op heden geen bevestigde aanvallen met betrekking tot deze problemen geweest. Bepaalde kwetsbaarheden kunnen echter potentieel worden benut om toegang te krijgen tot klantgegevens of om beheerderssessies over te nemen. De meeste van deze problemen vereisen dat een aanvaller eerst toegang verkrijgt tot de beheerder. Dientengevolge, herinneren wij u eraan om alle noodzakelijke stappen te nemen om uw Admin, met inbegrip van maar niet beperkt tot deze inspanningen te beschermen: IP voegend op lijst van gewenste personen, bifactorauthentificatie, gebruik van VPN, het gebruik van een unieke plaats eerder dan /admin, en goede wachtwoordhygiëne. Zie het Adobe-beveiligingsbulletin voor een bespreking van deze opgeloste problemen.

Aanvullende beveiligingsverbeteringen

Beveiligingsverbeteringen voor deze release verbeteren de naleving van de nieuwste best practices op het gebied van beveiliging, waaronder:

  • Een nieuwe Composer-plug-in helpt afhankelijkheidsverwarring te voorkomen en identificeert kwaadaardige pakketten met dezelfde namen als interne pakketten in de openbare pakketrepository. Zie de Adobe Releases New Composer Plugin met 2.4.3 Release blogpost.

  • Snelheidsbeperking is nu ingebouwd in API's om denial-of-service (DoS)-aanvallen te voorkomen. Web-API's leggen nu beperkingen op aan de grootte of het aantal resources (het standaardmaximum is ingesteld op 20 en kan worden geconfigureerd voor een andere waarde op basis van de zakelijke behoefte) die door een client kunnen worden aangevraagd. Zie het Beperken van het Tariefvoor informatie over het vormen van deze beperkingen.

  • De dekking van ReCAPTCHA is uitgebreid om te omvatten:

    • Web-API's met overeenkomende HTML-pagina's worden behandeld via ReCAPTCHA. (Dit sluit web-API's uit die door integratie worden benaderd.) De dekking ReCAPTCHA beschermt eindpunten tegen spamaanvallen. Wanneer Web APIs door de dienst van de derdeintegratie wordt betreden die OAuth gebruikt, is ReCAPTCHA gehandicapt.

    • De pagina Opslagmap Plaatsen en API's voor betalingsgerelateerde webpagina's. De ReCAPTCHA-beveiliging voor deze pagina's is standaard uitgeschakeld en kan via de beheerder worden ingeschakeld. Deze berichtgeving voegt een antibrute-krachtmechanisme toe om winkels te beschermen tegen kaardaanvallen.

NOTE
Vanaf de versie 2.3.2 wijzen we geïndexeerde CVE-nummers (Common Vulnerabilities and Exposure) toe aan en publiceren we deze voor elke beveiligingsfout die door externe partijen aan ons wordt gemeld. Hierdoor kunnen gebruikers gemakkelijker niet-verholpen kwetsbaarheden in hun implementatie identificeren. U kunt meer over CVE herkenningstekens bij CVEleren.