DocumentaçãoCommerceInformações da versão

Notas de versão de patches de segurança do Adobe Commerce 2.4.5

Last update: Tue Oct 08 2024 00:00:00 GMT+0000 (Coordinated Universal Time)
  • Tópicos:

Criado para:

  • Experiente
  • Administrador
  • Desenvolvedor

Essas notas de versão de patch de segurança capturam atualizações para aprimorar a segurança da implantação do Adobe Commerce. As informações incluem, entre outras, as seguintes:

  • Correções de erros de segurança
  • Destaques de segurança que fornecem mais detalhes sobre as melhorias e atualizações incluídas no patch de segurança
  • Problemas conhecidos
  • Instruções para aplicar patches adicionais, se necessário
  • Informações sobre hot fixes incluídos na versão

Saiba mais sobre lançamentos de patch de segurança:

2.4.5-p10

A versão de segurança do Adobe Commerce 2.4.5-p10 fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores do 2.4.5.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-73.

NOTE
Depois de instalar esse patch de segurança, os comerciantes B2B do Adobe Commerce também devem atualizar para a versão mais recente do patch de segurança B2B compatível. Consulte as notas de versão B2B.

Destaques

Esta versão inclui os seguintes destaques:

  • Atualização do TinyMCE—O editor do WYSIWYG no Administrador agora usa a versão mais recente da dependência do TinyMCE (7.3​).

    • O TinyMCE 7.3 oferece uma experiência de usuário aprimorada, melhor colaboração e maior eficiência. O TinyMCE 5 foi removido da linha da versão 2.4.8​

    • Como havia uma vulnerabilidade de segurança (CVE-2024-38357) relatada no TinyMCE 5.10, a dependência também foi atualizada para todas as linhas de versão atualmente com suporte e incluídas em todos os patches de segurança de outubro de 2024:

      • 2.4.7-p3
      • 2.4.6-p8
      • 2.4.5-p10
      • 2.4.4-p11

  • Atualização do Require.js—O Adobe Commerce agora usa a versão mais recente do Require.js (2.3.7).

    • Como havia uma vulnerabilidade de segurança (CVE-2024-38999) relatada no Require.js 2.3.6, a dependência também foi atualizada para todas as linhas de versão atualmente com suporte e incluída em todos os patches de segurança de outubro de 2024:

      • 2.4.7-p3
      • 2.4.6-p8
      • 2.4.5-p10
      • 2.4.4-p11
NOTE
Essas atualizações são compatíveis com versões anteriores e não devem afetar personalizações e extensões.​

Hotfixes incluídos nesta versão

Esta versão inclui uma correção para resolver um problema com o gateway de pagamento Braintree.

O sistema agora inclui os campos necessários para atender aos requisitos de autorização do 3DS VISA ao usar o Braintree como gateway de pagamento. Isso garante que todas as transações cumpram com as mais recentes normas de segurança definidas pela VISA. Anteriormente, esses campos adicionais não eram incluídos nas informações de pagamento enviadas, o que poderia ter levado ao não cumprimento dos novos requisitos de VISTO.

2.4.5-p9

A versão de segurança 2.4.5-p9 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.5.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-61.

Destaques

Esta versão inclui os seguintes destaques:

  • Limitação de taxa paraone-time passwords—As novas opções de configuração do sistema a seguir estão disponíveis para habilitar a limitação de taxa na validação two-factor authentication (2FA) one-time password (OTP):

    • Limite de novas tentativas para Autenticação de Dois Fatores
    • Tempo de bloqueio da Autenticação de Dois Fatores (segundos)

    O Adobe aconselha a definição de um limite para validação OTP 2FA para limitar o número de tentativas de mitigar ataques de força bruta. Consulte Segurança > 2FA no Guia de Referência de Configuração para obter mais informações.

  • Rotação de chave de criptografia—Um novo comando da CLI agora está disponível para alterar sua chave de criptografia. Consulte o artigo da Base de Dados de Conhecimento Solução de Problemas de Rotação de Chaves de Criptografia: CVE-2024-34102 para obter detalhes.

  • Correção para CVE-2020-27511—Resolve uma vulnerabilidade de segurança Prototype.js.

  • Correção para CVE-2024-39397—Resolve uma vulnerabilidade de segurança na execução remota de código. Essa vulnerabilidade afeta os comerciantes que usam o servidor Web Apache para implantações locais ou auto-hospedadas. Essa correção também está disponível como um patch isolado. Consulte o artigo Atualização de segurança disponível para o Adobe Commerce - APSB24-61 Knowledge Base para obter detalhes.

Hotfixes incluídos nesta versão

Esta versão do inclui os seguintes hotfixes:

2.4.5-p8

A versão de segurança do Adobe Commerce 2.4.5-p8 fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.5.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-40.

Aplicar hotfix para CVE-2024-34102

IMPORTANT
Esta é uma atualização urgente para nossa última comunicação sobre o CVE-2024-34102. A Adobe está ciente de que o CVE-2024-34102 foi explorado na natureza em ataques muito limitados que visam os comerciantes da Adobe Commerce. Tome medidas imediatas para resolver a vulnerabilidade, se ainda não tiver feito isso.

Para clientes que não aplicaram o patch de segurança lançado em 11 de junho de 2024 ou o patch isolado lançado em 28 de junho de 2024:

Opção 1:

  1. Aplique um dos patches de segurança lançados em 11 de junho de 2024:

  2. Aplique o hotfix lançado em 17 de julho de 2024.

  3. Girar chaves de criptografia.

Opção 2:

  1. Aplicar o patch isolado.

  2. Girar chaves de criptografia.

Para clientes que já aplicaram um patch de segurança lançado em 11 de junho de 2024 ou o patch isolado lançado em 28 de junho de 2024:

  1. Aplique o hotfix lançado em 17 de julho de 2024.

  2. Girar chaves de criptografia.

Para clientes que já tenham 1) aplicado um patch de segurança lançado em 11 de junho de 2024 ou 2) o patch isolado lançado em 28 de junho de 2024 e 3) girado suas chaves de criptografia:

  1. Aplique o hotfix lançado em 17 de julho de 2024.

Atualizações da plataforma

  • Suporte ao MariaDB 10.5. Esta versão de patch apresenta compatibilidade com o MariaDB versão 10.5. O Adobe Commerce ainda é compatível com a versão 10.4 do MariaDB, mas o Adobe recomenda o uso do Adobe Commerce 2.4.5-p8 e de todas as próximas versões de patch somente de segurança 2.4.5 somente com a versão 10.5 do MariaDB, pois a manutenção do MariaDB 10.4 termina em 18 de junho de 2024.

Destaques

  • Suporte para SRI (Integridade de Sub-Recursos) adicionado para atender aos requisitos da PCI 4.0 para verificação de integridade de script em páginas de pagamento. O suporte à Integridade de sub-recursos (SRI) fornece hashes de integridade para todos os ativos do JavaScript que residem no sistema de arquivos local. O recurso SRI padrão é implementado apenas nas páginas de pagamento para as áreas de Administração e vitrine eletrônica. No entanto, os comerciantes podem estender a configuração padrão para outras páginas. Consulte Integridade de sub-recursos no Guia do Desenvolvedor do Commerce PHP.

  • Alterações na Política de Segurança de Conteúdo (CSP)—Atualizações e aprimoramentos de configuração nas Políticas de Segurança de Conteúdo (CSPs) da Adobe Commerce para atender aos requisitos da PCI 4.0. Para obter detalhes, consulte Políticas de Segurança de Conteúdo no Guia do Desenvolvedor do Commerce PHP.

    • A configuração padrão da CSP para páginas de pagamento para o Administrador do Commerce e áreas de vitrine agora é o modo restrict. Para todas as outras páginas, a configuração padrão é o modo report-only. Nas versões anteriores à 2.4.7, o CSP foi configurado no modo report-only para todas as páginas.

    • Adição de um provedor nonce para permitir a execução de scripts integrados em uma CSP. O provedor nonce facilita a geração de cadeias de caracteres nonce exclusivas para cada solicitação. As cadeias de caracteres são anexadas ao cabeçalho da CSP.

    • Adição de opções para configurar URIs personalizados para relatar violações de CSP para a página Criar pedido no Admin e a página Check-out na loja. Você pode adicionar a configuração do Administrador ou adicionando o URI ao arquivo config.xml.

      note note
      NOTE
      Atualizar a configuração da CSP para o modo restrict pode bloquear scripts incorporados existentes nas páginas de pagamento na Administração e na loja, o que causa o seguinte erro do navegador quando uma página é carregada: Refused to execute inline script because it violates the following Content Security Policy directive: "script-src. Corrija esses erros atualizando a configuração da lista de permissões para permitir os scripts necessários. Consulte Solução de problemas no Guia do Desenvolvedor do Commerce PHP.

2.4.5-p7

A versão de segurança 2.4.5-p7 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.5.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-18.

2.4.5-p6

A versão de segurança 2.4.5-p6 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.5. Esta versão também inclui aprimoramentos de segurança para melhorar a conformidade com as práticas recomendadas de segurança mais recentes.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-03.

Destaques

Esta versão apresenta dois aprimoramentos significativos de segurança:

  • Alterações no comportamento de chaves de cache não geradas:

    • As chaves de cache não geradas para blocos agora incluem prefixos que diferem dos prefixos para chaves geradas automaticamente. (As chaves de cache não geradas são chaves definidas por meio da sintaxe de diretiva de modelo ou pelos métodos setCacheKey ou setData.)
    • As chaves de cache não geradas para blocos agora devem conter apenas letras, dígitos, hifens (-) e caracteres de sublinhado (_).

  • Limitações sobre o número de códigos de cupom gerados automaticamente. O Commerce agora limita o número de códigos de cupom gerados automaticamente. O máximo padrão é 250.000. Os comerciantes podem usar a nova opção de configuração Code Quantity Limit (Stores > Settings:Configuration > Customers > Promotions) para controlar esse novo limite.

2.4.5-p5

A versão de segurança 2.4.5-p5 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores da 2.4.5. Esta versão também inclui aprimoramentos de segurança para melhorar a conformidade com as práticas recomendadas de segurança mais recentes.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB23-50.

Destaques

Esta versão introduz uma nova definição de configuração de cache de página inteira que ajuda a reduzir os riscos associados ao ponto de extremidade {BASE-URL}/page_cache/block/esi HTTP. Esse endpoint oferece suporte a fragmentos de conteúdo irrestritos e carregados dinamicamente de manipuladores de layout e estruturas de bloco do Commerce. A nova definição de configuração Handles Param define o valor do parâmetro handles desse ponto de extremidade, que determina o número máximo permitido de identificadores por API. O valor padrão dessa propriedade é 100. Os comerciantes podem alterar este valor de Admin (Stores > Settings:Configuration > System > Full Page Cache > Handles Param).

Problemas conhecidos

Problema: o Adobe Commerce exibe um erro de soma de verificação incorreta durante o download pelo Composer de repo.magento.com, e o download do pacote foi interrompido. Esse problema pode ocorrer durante o download de pacotes de lançamento que foram disponibilizados durante o pré-lançamento e é causado por um reempacotamento do pacote magento/module-page-cache.

Solução alternativa: os comerciantes que visualizarem este erro durante o download podem executar estas etapas:

  1. Exclua o diretório /vendor dentro do projeto, se existir.
  2. Execute o comando bin/magento composer update magento/module-page-cache. Este comando atualiza somente o pacote page cache.

Se o problema de soma de verificação persistir, remova o arquivo composer.lock antes de executar novamente o comando bin/magento composer update para atualizar cada pacote.

2.4.5-p4

A versão de segurança 2.4.5-p4 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.5.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB23-42.

Aplicar hotfix para CVE-2022-31160

A biblioteca jQuery-UI versão 1.13.1 tem uma vulnerabilidade de segurança conhecida (CVE-2022-31160) que afeta várias versões do Adobe Commerce e do Magento Open Source. Esta biblioteca é uma dependência do Adobe Commerce e do Magento Open Source 2.4.4, 2.4.5 e 2.4.6. Os comerciantes que executam implantações afetadas devem aplicar o patch especificado no artigo da Base de Dados de Conhecimento vulnerabilidade de segurança da interface do usuário do jQuery CVE-2022-31160 para 2.4.4, 2.4.5 e 2.4.6 versões.

2.4.5-p3

A versão de segurança 2.4.5-p3 do Adobe Commerce fornece correções de segurança para vulnerabilidades que foram identificadas em versões anteriores da 2.4.5. Esta versão também inclui aprimoramentos de segurança que melhoram a conformidade com as práticas recomendadas de segurança mais recentes.

Para obter as últimas informações sobre as correções de erros de segurança, consulte Boletim de Segurança do Adobe.

Aplicar hotfix para CVE-2022-31160

A biblioteca jQuery-UI versão 1.13.1 tem uma vulnerabilidade de segurança conhecida (CVE-2022-31160) que afeta várias versões do Adobe Commerce e do Magento Open Source. Esta biblioteca é uma dependência do Adobe Commerce e do Magento Open Source 2.4.4, 2.4.5 e 2.4.6. Os comerciantes que executam implantações afetadas devem aplicar o patch especificado no artigo da Base de Dados de Conhecimento vulnerabilidade de segurança da interface de consulta CVE-2022-31160 para as versões 2.4.4, 2.4.5 e 2.4.6.

Destaques

O comportamento padrão da consulta GraphQL isEmailAvailable e do ponto de extremidade REST V1/customers/isEmailAvailable foi alterado. Por padrão, a API agora sempre retorna true. Os comerciantes podem habilitar o comportamento original, que é retornar true se o email não existir no banco de dados e false se ele existir.

Atualizações da plataforma

As atualizações de plataforma para esta versão melhoram a conformidade com as práticas recomendadas de segurança mais recentes.

  • Suporte ao cache de verniz 7.3. Esta versão é compatível com a versão mais recente do Varnish Cache 7.3. A compatibilidade permanece com as versões 6.0.x e 7.2.x, mas recomendamos usar o Adobe Commerce 2.4.5-p3 somente com o Varnish Cache versão 7.3 ou versão 6.0 LTS.

  • Suporte ao RabbitMQ 3.11. Esta versão é compatível com a versão mais recente do RabbitMQ 3.11. A compatibilidade permanece com o RabbitMQ 3.9, compatível até agosto de 2023, mas recomendamos usar o Adobe Commerce 2.4.5-p3 somente com o RabbitMQ 3.11.

  • Bibliotecas JavaScript. As bibliotecas JavaScript desatualizadas foram atualizadas para as versões secundárias ou de patch mais recentes, incluindo a biblioteca moment.js (v2.29.4), a biblioteca jQuery UI (v1.13.2) e a biblioteca de plug-in de validação jQuery (v1.19.5).

2.4.5-p2

A versão de segurança 2.4.5-p2 do Adobe Commerce fornece três correções de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.5.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança Adobe APSB23-17.

2.4.5-p1

A versão de segurança 2.4.5-p1 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores da 2.4.5.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB22-48.

Uma das correções de bugs de segurança incluiu a criação de uma nova configuração. A configuração Exigir confirmação por email se o email tiver sido alterado permite que os administradores exijam confirmação por email quando um usuário administrador alterar seu endereço de email.

recommendation-more-help
1d4eef6c-fef1-4e61-85eb-b58d7b9ac29f