Notas de versão de patches de segurança do Adobe Commerce 2.4.4
Essas notas de versão de patch de segurança capturam atualizações para aprimorar a segurança da implantação do Adobe Commerce. As informações incluem, entre outras, as seguintes:
- Correções de erros de segurança
- Destaques de segurança que fornecem mais detalhes sobre as melhorias e atualizações incluídas no patch de segurança
- Problemas conhecidos
- Instruções para aplicar patches adicionais, se necessário
- Informações sobre hot fixes incluídos na versão
Saiba mais sobre lançamentos de patch de segurança:
- Visão geral das versões de correção do Adobe Commerce Security
- As instruções para baixar e aplicar versões de patch de segurança estão disponíveis no Guia de Atualização
2.4.4-p10
A versão de segurança do Adobe Commerce 2.4.4-p10 fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores do 2.4.4.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-61.
Destaques
Esta versão inclui os seguintes destaques:
-
Limitação de taxa paraone-time passwords—As novas opções de configuração do sistema a seguir estão disponíveis para habilitar a limitação de taxa na validação two-factor authentication (2FA) one-time password (OTP):
- Limite de novas tentativas para Autenticação de Dois Fatores
- Tempo de bloqueio da Autenticação de Dois Fatores (segundos)
O Adobe aconselha a definição de um limite para validação OTP 2FA para limitar o número de tentativas de mitigar ataques de força bruta. Consulte Segurança > 2FA no Guia de Referência de Configuração para obter mais informações.
-
Rotação de chave de criptografia—Um novo comando da CLI agora está disponível para alterar sua chave de criptografia. Consulte o artigo da Base de Dados de Conhecimento Solução de Problemas de Rotação de Chaves de Criptografia: CVE-2024-34102 para obter detalhes.
-
Correção para CVE-2020-27511—Resolve uma vulnerabilidade de segurança Prototype.js.
-
Correção para CVE-2024-39397—Resolve uma vulnerabilidade de segurança na execução remota de código. Essa vulnerabilidade afeta os comerciantes que usam o servidor Web Apache para implantações locais ou auto-hospedadas. Essa correção também está disponível como um patch isolado. Consulte o artigo Atualização de segurança disponível para o Adobe Commerce - APSB24-61 Knowledge Base para obter detalhes.
Hotfixes incluídos nesta versão
Esta versão do inclui os seguintes hotfixes:
-
Correção para resolver um erro de JavaScript que impedia o Google Maps de ser renderizado corretamente no editor do PageBuilder. Consulte o artigo Patches revisados para perda de acesso ao Google Maps em todas as versões do Adobe Commerce para obter detalhes.
-
Hotfix para resolver um problema de validação de JSON web token (JWT) relacionado ao CVE-2024-34102. Consulte o artigo Atualização de segurança disponível para a Base de Dados de Conhecimento Adobe Commerce-APSB24-40 para obter detalhes.
2.4.4-p9
A versão de segurança 2.4.4-p9 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.4.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-40.
Aplicar hotfix para CVE-2024-34102
Para clientes que não aplicaram o patch de segurança lançado em 11 de junho de 2024 ou o patch isolado lançado em 28 de junho de 2024:
Opção 1:
Opção 2:
-
Aplicar o patch isolado.
-
Girar chaves de criptografia.
Para clientes que já aplicaram um patch de segurança lançado em 11 de junho de 2024 ou o patch isolado lançado em 28 de junho de 2024:
Para clientes que já tenham 1) aplicado um patch de segurança lançado em 11 de junho de 2024 ou 2) o patch isolado lançado em 28 de junho de 2024 e 3) girado suas chaves de criptografia:
- Aplique o hotfix lançado em 17 de julho de 2024.
Atualizações da plataforma
- Suporte ao MariaDB 10.5. Esta versão de patch apresenta compatibilidade com o MariaDB versão 10.5. O Adobe Commerce ainda é compatível com a versão 10.4 do MariaDB, mas o Adobe recomenda o uso do Adobe Commerce 2.4.4-p9 e de todas as próximas versões de patch somente de segurança 2.4.4 somente com a versão 10.5 do MariaDB, pois a manutenção do MariaDB 10.4 termina em 18 de junho de 2024.
Destaques
-
Suporte para SRI (Integridade de Sub-Recursos) adicionado para atender aos requisitos da PCI 4.0 para verificação de integridade de script em páginas de pagamento. O suporte à Integridade de sub-recursos (SRI) fornece hashes de integridade para todos os ativos do JavaScript que residem no sistema de arquivos local. O recurso SRI padrão é implementado apenas nas páginas de pagamento para as áreas de Administração e vitrine eletrônica. No entanto, os comerciantes podem estender a configuração padrão para outras páginas. Consulte Integridade de sub-recursos no Guia do Desenvolvedor do Commerce PHP.
-
Alterações na Política de Segurança de Conteúdo (CSP)—Atualizações e aprimoramentos de configuração nas Políticas de Segurança de Conteúdo (CSPs) da Adobe Commerce para atender aos requisitos da PCI 4.0. Para obter detalhes, consulte Políticas de Segurança de Conteúdo no Guia do Desenvolvedor do Commerce PHP.
-
A configuração padrão da CSP para páginas de pagamento para o Administrador do Commerce e áreas de vitrine agora é o modo
restrict
. Para todas as outras páginas, a configuração padrão é o modoreport-only
. Nas versões anteriores à 2.4.7, o CSP foi configurado no modoreport-only
para todas as páginas. -
Adição de um provedor nonce para permitir a execução de scripts integrados em uma CSP. O provedor nonce facilita a geração de cadeias de caracteres nonce exclusivas para cada solicitação. As cadeias de caracteres são anexadas ao cabeçalho da CSP.
-
Adição de opções para configurar URIs personalizados para relatar violações de CSP para a página Criar pedido no Admin e a página Check-out na loja. Você pode adicionar a configuração do Administrador ou adicionando o URI ao arquivo
config.xml
.note note NOTE Atualizar a configuração da CSP para o modo restrict
pode bloquear scripts incorporados existentes nas páginas de pagamento na Administração e na loja, o que causa o seguinte erro do navegador quando uma página é carregada:Refused to execute inline script because it violates the following Content Security Policy directive: "script-src
. Corrija esses erros atualizando a configuração da lista de permissões para permitir os scripts necessários. Consulte Solução de problemas no Guia do Desenvolvedor do Commerce PHP.
-
2.4.4-p8
A versão de segurança do Adobe Commerce 2.4.4-p8 fornece correções de bugs de segurança para a implantação do Adobe Commerce 2.4.4. Essas atualizações corrigem vulnerabilidades identificadas em versões anteriores.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-18.
2.4.4-p7
A versão de segurança 2.4.4-p7 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores. Esta versão também inclui aprimoramentos de segurança que melhoram a conformidade com as práticas recomendadas de segurança mais recentes.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-03.
Destaques
Esta versão apresenta dois aprimoramentos significativos de segurança:
-
Alterações no comportamento de chaves de cache não geradas:
- As chaves de cache não geradas para blocos agora incluem prefixos que diferem dos prefixos para chaves geradas automaticamente. (As chaves de cache não geradas são chaves definidas por meio da sintaxe de diretiva de modelo ou pelos métodos
setCacheKey
ousetData
.) - As chaves de cache não geradas para blocos agora devem conter apenas letras, dígitos, hifens (-) e caracteres de sublinhado (_).
- As chaves de cache não geradas para blocos agora incluem prefixos que diferem dos prefixos para chaves geradas automaticamente. (As chaves de cache não geradas são chaves definidas por meio da sintaxe de diretiva de modelo ou pelos métodos
-
Limitações sobre o número de códigos de cupom gerados automaticamente. O Commerce agora limita o número de códigos de cupom gerados automaticamente. O máximo padrão é 250.000. Os comerciantes podem usar a nova opção de configuração Code Quantity Limit (Stores > Settings:Configuration > Customers > Promotions) para controlar esse novo limite.
2.4.4-p6
A versão de segurança 2.4.4-p6 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores. Esta versão também inclui aprimoramentos de segurança que melhoram a conformidade com as práticas recomendadas de segurança mais recentes.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB23-50.
Esta versão também inclui aprimoramentos de segurança que melhoram a conformidade com as práticas recomendadas de segurança mais recentes.
Destaques
Esta versão introduz uma nova definição de configuração de cache de página inteira que ajuda a reduzir os riscos associados ao ponto de extremidade {BASE-URL}/page_cache/block/esi HTTP
. Esse endpoint oferece suporte a fragmentos de conteúdo irrestritos e carregados dinamicamente de manipuladores de layout e estruturas de bloco do Commerce. A nova definição de configuração Handles Param define o valor do parâmetro handles
desse ponto de extremidade, que determina o número máximo permitido de identificadores por API. O valor padrão dessa propriedade é 100. Os comerciantes podem alterar este valor de Admin (Stores > Settings: Configuration > System > Full Page Cache > Handles Param).
Problemas conhecidos
Problema: o Adobe Commerce exibe um erro de soma de verificação incorreta durante o download pelo Composer de repo.magento.com
, e o download do pacote foi interrompido. Esse problema pode ocorrer durante o download de pacotes de lançamento que foram disponibilizados durante o pré-lançamento e é causado por um reempacotamento do pacote magento/module-page-cache
.
Solução alternativa: os comerciantes que visualizarem este erro durante o download podem executar estas etapas:
- Exclua o diretório
/vendor
dentro do projeto, se existir. - Execute o comando
bin/magento composer update magento/module-page-cache
. Este comando atualiza somente o pacotepage cache
.
Se o problema de soma de verificação persistir, remova o arquivo composer.lock
antes de executar novamente o comando bin/magento composer update
para atualizar cada pacote.
2.4.4-p5
A versão de segurança 2.4.4-p5 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB23-42.
Aplicar hotfix para CVE-2022-31160
A biblioteca jQuery-UI
versão 1.13.1 tem uma vulnerabilidade de segurança conhecida (CVE-2022-31160) que afeta várias versões do Adobe Commerce e do Magento Open Source. Esta biblioteca é uma dependência do Adobe Commerce e do Magento Open Source 2.4.4, 2.4.5 e 2.4.6. Os comerciantes que executam implantações afetadas devem aplicar o patch especificado no artigo da Base de Dados de Conhecimento vulnerabilidade de segurança da interface do usuário do jQuery CVE-2022-31160 para 2.4.4, 2.4.5 e 2.4.6 versões.
2.4.4-p4
A versão de segurança 2.4.4-p4 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores. Esta versão também inclui aprimoramentos de segurança e atualizações de plataforma para melhorar a conformidade com as práticas recomendadas de segurança mais recentes.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB23-35.
Aplicar hotfix para CVE-2022-31160
A biblioteca jQuery-UI
versão 1.13.1 tem uma vulnerabilidade de segurança conhecida (CVE-2022-31160) que afeta várias versões do Adobe Commerce e do Magento Open Source. Esta biblioteca é uma dependência do Adobe Commerce e do Magento Open Source 2.4.4, 2.4.5 e 2.4.6. Os comerciantes que executam implantações afetadas devem aplicar o patch especificado no artigo da Base de Dados de Conhecimento vulnerabilidade de segurança da interface do usuário do jQuery CVE-2022-31160 para 2.4.4, 2.4.5 e 2.4.6 versões.
Destaques
O comportamento padrão da consulta GraphQL isEmailAvailable
e do ponto de extremidade REST V1/customers/isEmailAvailable
foi alterado. Por padrão, a API agora sempre retorna true
. Os comerciantes podem habilitar o comportamento original, que é retornar true
se o email não existir no banco de dados e false
se ele existir.
Atualizações da plataforma
As atualizações de plataforma para esta versão melhoram a conformidade com as práticas recomendadas de segurança mais recentes.
-
Suporte ao cache de verniz 7.3. Esta versão é compatível com a versão mais recente do Varnish Cache 7.3. A compatibilidade permanece com as versões 6.0.x e 7u.2.x, mas a Adobe recomenda usar o Adobe Commerce 2.4.4-p4 somente com o Cache de Varnish versão 7.3 ou versão 6.0 LTS.
-
Suporte ao RabbitMQ 3.11. Esta versão é compatível com a versão mais recente do RabbitMQ 3.11. A compatibilidade permanece com o RabbitMQ 3.9, compatível até agosto de 2023, mas o Adobe recomenda usar o Adobe Commerce 2.4.4-p4 somente com o RabbitMQ 3.11.
-
Bibliotecas JavaScript. As bibliotecas JavaScript desatualizadas foram atualizadas para as versões secundárias ou de patch mais recentes, incluindo a biblioteca
moment.js
(v2.29.4), a bibliotecajQuery UI
(v1.13.2) e a biblioteca de plug-in de validaçãojQuery
(v1.19.5).
2.4.4-p3
A versão de segurança 2.4.4-p3 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança Adobe APSB23-17.
2.4.4-p2
A versão de segurança 2.4.4-p2 do Adobe Commerce fornece correções para vulnerabilidades identificadas em versões anteriores. Uma correção inclui a criação de uma nova definição de configuração. A configuração Exigir confirmação por email se o email tiver sido alterado permite que os administradores exijam confirmação por email quando um usuário administrador alterar seu endereço de email.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB22-48.
Aplique o AC-3022.patch para continuar oferecendo a DHL como transportadora
A DHL apresentou o schema versão 6.2 e descontinuará o schema versão 6.0 em breve. Adobe Commerce 2.4.4 e versões anteriores que suportam a integração DHL suportam apenas a versão 6.0. Os comerciantes que implantarem essas versões devem aplicar o AC-3022.patch
o mais rápido possível para continuarem oferecendo a DHL como transportadora. Consulte o artigo da Base de conhecimento Aplicar um patch para continuar oferecendo a DHL como transportadora para obter informações sobre como baixar e instalar o patch.
2.4.4-p1
A versão de segurança 2.4.4-p1 do Adobe Commerce fornece correções para vulnerabilidades identificadas em versões anteriores. Esta versão também inclui aprimoramentos de segurança para melhorar a conformidade com as práticas recomendadas de segurança mais recentes.
Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança do Adobe.t
Aplique o AC-3022.patch
para continuar oferecendo a DHL como transportadora
A DHL apresentou o schema versão 6.2 e descontinuará o schema versão 6.0 em breve. Adobe Commerce 2.4.4 e versões anteriores que suportam a integração DHL suportam apenas a versão 6.0. Os comerciantes que implantarem essas versões devem aplicar o AC-3022.patch
o mais rápido possível para continuarem oferecendo a DHL como transportadora. Consulte o artigo da Base de conhecimento Aplicar um patch para continuar oferecendo a DHL como transportadora para obter informações sobre como baixar e instalar o patch.
Destaques
Os aprimoramentos de segurança desta versão melhoram a conformidade com as práticas recomendadas de segurança mais recentes, incluindo:
- Os recursos de ACL foram adicionados ao Inventário.
- A segurança do modelo de estoque foi aprimorada.
Problemas conhecidos
Problema: a API da Web e os testes de integração exibem este erro quando executados no pacote 2.4.4-p1: [2022-06-14T16:58:23.694Z] PHP Fatal error: Declaration of Magento\TestFramework\ErrorLog\Logger::addRecord(int $level, string $message, array $context = []): bool must be compatible with Monolog\Logger::addRecord(int $level, string $message, array $context = [], ?Monolog\DateTimeImmutable $datetime = null): bool in /var/www/html/dev/tests/integration/framework/Magento/TestFramework/ErrorLog/Logger.php on line 69
. Solução alternativa: instale a versão anterior do Monolog executando o comando require monolog/monolog:2.6.0
.
Problema: os comerciantes podem notar avisos de downgrade de versão do pacote durante uma atualização do Adobe Commerce 2.4.4 para o Adobe Commerce 2.4.4-p1. Essas mensagens podem ser ignoradas. A discrepância nas versões do pacote resulta de anomalias durante a geração do pacote. Nenhuma funcionalidade do produto foi afetada. Consulte o artigo da Base de Dados de Conhecimento Pacotes desatualizados após a atualização de 2.4.4 para 2.4.4-p1 para obter uma discussão sobre cenários afetados e soluções alternativas.