DocumentaçãoCommerceInformações da versão

Notas de versão de patches de segurança do Adobe Commerce 2.4.6

Last update: Thu Jul 18 2024 00:00:00 GMT+0000 (Coordinated Universal Time)
  • Tópicos:

Criado para:

  • undefined
  • undefined
  • undefined

Essas notas de versão de patch de segurança capturam atualizações para aprimorar a segurança da implantação do Adobe Commerce. As informações incluem, entre outras, as seguintes:

  • Correções de erros de segurança
  • Destaques de segurança que fornecem mais detalhes sobre as melhorias e atualizações incluídas no patch de segurança
  • Problemas conhecidos
  • Instruções para aplicar patches adicionais, se necessário
  • Informações sobre hot fixes incluídos na versão

Saiba mais sobre lançamentos de patch de segurança:

Adobe Commerce 2.4.6-p6

A versão de segurança 2.4.6-p6 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores da 2.4.6.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-40.

Aplicar hotfix para CVE-2024-34102

IMPORTANT
Esta é uma atualização urgente para nossa última comunicação sobre o CVE-2024-34102. A Adobe está ciente de que o CVE-2024-34102 foi explorado na natureza em ataques muito limitados que visam os comerciantes da Adobe Commerce. Tome medidas imediatas para resolver a vulnerabilidade, se ainda não tiver feito isso.

Para clientes que não aplicaram o patch de segurança lançado em 11 de junho de 2024 ou o patch isolado lançado em 28 de junho de 2024:

Opção 1:

  1. Aplique um dos patches de segurança lançados em 11 de junho de 2024:

  2. Aplique o hotfix lançado em 17 de julho de 2024.

  3. Girar chaves de criptografia.

Opção 2:

  1. Aplicar o patch isolado.

  2. Girar chaves de criptografia.

Para clientes que já aplicaram um patch de segurança lançado em 11 de junho de 2024 ou o patch isolado lançado em 28 de junho de 2024:

  1. Aplique o hotfix lançado em 17 de julho de 2024.

  2. Girar chaves de criptografia.

Para clientes que já tenham 1) aplicado um patch de segurança lançado em 11 de junho de 2024 ou 2) o patch isolado lançado em 28 de junho de 2024 e 3) girado suas chaves de criptografia:

  1. Aplique o hotfix lançado em 17 de julho de 2024.

Destaque de segurança

Para compatibilidade com a versão 2.4.6-p6 do Commerce, os comerciantes que têm a extensão B2B do Adobe Commerce devem atualizar para a versão 1.4.2-p1🔗 do B2B2B.

Aprimoramentos adicionais de segurança

  • Suporte para SRI (Integridade de Sub-Recursos) adicionado para atender aos requisitos da PCI 4.0 para verificação de integridade de script em páginas de pagamento. O suporte à Integridade de sub-recursos (SRI) fornece hashes de integridade para todos os ativos do JavaScript que residem no sistema de arquivos local. O recurso SRI padrão é implementado apenas nas páginas de pagamento para as áreas de Administração e vitrine eletrônica. No entanto, os comerciantes podem estender a configuração padrão para outras páginas. Consulte Integridade de sub-recursos no Guia do Desenvolvedor do Commerce PHP.

  • Alterações na Política de Segurança de Conteúdo (CSP)—Atualizações e aprimoramentos de configuração nas Políticas de Segurança de Conteúdo (CSPs) da Adobe Commerce para atender aos requisitos da PCI 4.0. Para obter detalhes, consulte Políticas de Segurança de Conteúdo no Guia do Desenvolvedor do Commerce PHP.

    • A configuração padrão da CSP para páginas de pagamento para o Administrador do Commerce e áreas de vitrine agora é o modo restrict. Para todas as outras páginas, a configuração padrão é o modo report-only. Nas versões anteriores à 2.4.7, o CSP foi configurado no modo report-only para todas as páginas.

    • Adição de um provedor nonce para permitir a execução de scripts integrados em uma CSP. O provedor nonce facilita a geração de cadeias de caracteres nonce exclusivas para cada solicitação. As cadeias de caracteres são anexadas ao cabeçalho da CSP.

    • Adição de opções para configurar URIs personalizados para relatar violações de CSP para a página Criar pedido no Admin e a página Check-out na loja. Você pode adicionar a configuração do Administrador ou adicionando o URI ao arquivo config.xml.

      note note
      NOTE
      Atualizar a configuração da CSP para o modo restrict pode bloquear scripts incorporados existentes nas páginas de pagamento na Administração e na loja, o que causa o seguinte erro do navegador quando uma página é carregada: Refused to execute inline script because it violates the following Content Security Policy directive: "script-src. Corrija esses erros atualizando a configuração da lista de permissões para permitir os scripts necessários. Consulte Solução de problemas no Guia do Desenvolvedor do Commerce PHP.

Adobe Commerce 2.4.6-p5

A versão de segurança 2.4.6-p5 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores da 2.4.6.

Para obter as informações mais recentes sobre essas correções, consulte o Boletim de Segurança do Adobe APSB24-18.

Adobe Commerce 2.4.6-p4

A versão de segurança 2.4.6-p4 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades identificadas em versões anteriores. Esta versão também inclui aprimoramentos de segurança que melhoram a conformidade com as práticas recomendadas de segurança mais recentes.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB24-03.

Destaques da segurança

Esta versão apresenta dois aprimoramentos significativos de segurança:

  • Alterações no comportamento de chaves de cache não geradas:

    • As chaves de cache não geradas para blocos agora incluem prefixos que diferem dos prefixos para chaves geradas automaticamente. (As chaves de cache não geradas são chaves definidas por meio da sintaxe de diretiva de modelo ou pelos métodos setCacheKey ou setData.)
    • As chaves de cache não geradas para blocos agora devem conter apenas letras, dígitos, hifens (-) e caracteres de sublinhado (_).

  • Limitações sobre o número de códigos de cupom gerados automaticamente. O Commerce agora limita o número de códigos de cupom gerados automaticamente. O máximo padrão é 250.000. Os comerciantes podem usar a nova opção de configuração Code Quantity Limit (Stores > Settings:Configuration > Customers > Promotions) para controlar esse novo limite.

Adobe Commerce 2.4.6-p3

A versão de segurança 2.4.6-p3 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores. Esta versão também inclui aprimoramentos de segurança para melhorar a conformidade com as práticas recomendadas de segurança mais recentes.

Para obter as informações mais recentes sobre as correções de segurança, consulte o Boletim de Segurança do Adobe APSB23-50.

Destaques da segurança

Esta versão introduz uma nova definição de configuração de cache de página inteira que ajuda a reduzir os riscos associados ao ponto de extremidade {BASE-URL}/page_cache/block/esi HTTP. Esse endpoint oferece suporte a fragmentos de conteúdo irrestritos e carregados dinamicamente de manipuladores de layout e estruturas de bloco do Commerce. A nova definição de configuração Handles Param define o valor do parâmetro handles desse ponto de extremidade, que determina o número máximo permitido de identificadores por API. O valor padrão dessa propriedade é 100. Os comerciantes podem alterar este valor de Admin (Stores > Settings:Configuration > System > Full Page Cache > Handles Param.

Hotfixes incluídos nesta versão

O Adobe Commerce 2.4.6-p3 inclui a resolução da degradação de desempenho corrigida pelo patch ACSD-51892. Os comerciantes não são afetados pelo problema tratado por esse patch, que é descrito no ACSD-51892: problema de desempenho em que os arquivos de configuração são carregados várias vezes artigo da Base de Dados de Conhecimento.

Problema conhecido

Problema: o Adobe Commerce exibe um erro wrong checksum durante o download pelo Composer a partir de repo.magento.com, e o download do pacote é interrompido. Esse problema pode ocorrer durante o download de pacotes de lançamento disponibilizados durante o período de pré-lançamento e é causado por um reempacotamento do pacote magento/module-page-cache.

Solução alternativa: os comerciantes que visualizarem este erro durante o download podem executar estas etapas:

  1. Exclua o diretório /vendor dentro do projeto, se existir.
  2. Execute o comando bin/magento composer update magento/module-page-cache. Este comando atualiza somente o pacote page cache.

Se o problema de soma de verificação persistir, remova o arquivo composer.lock antes de executar novamente o comando bin/magento composer update para atualizar cada pacote.

2.4.6-p2

A versão de segurança 2.4.6-p2 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores. Esta versão também oferece aprimoramentos de segurança para melhorar a conformidade com as práticas recomendadas de segurança mais recentes.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB23-42.

Aplicar patch para resolver a vulnerabilidade de segurança CVE-2022-31160 na biblioteca jQuery-UI

A biblioteca jQuery-UI versão 1.13.1 tem uma vulnerabilidade de segurança conhecida (CVE-2022-31160) que afeta várias versões do Adobe Commerce e do Magento Open Source. Esta biblioteca é uma dependência do Adobe Commerce e do Magento Open Source 2.4.4, 2.4.5 e 2.4.6. Os comerciantes que executam implantações afetadas devem aplicar o patch especificado no artigo da Base de Dados de Conhecimento vulnerabilidade de segurança da interface do usuário do jQuery CVE-2022-31160 para 2.4.4, 2.4.5 e 2.4.6 versões.

Realce de segurança

O valor de fastcgi_pass no arquivo nginx.sample foi retornado ao seu valor anterior (pré-2.4.6-p1) de fastcgi_backend. Este valor foi alterado inadvertidamente para php-fpm:9000 no Adobe Commerce 2.4.6-p1.

Hotfixes incluídos nesta versão

O Adobe Commerce 2.4.6-p2 inclui a resolução da degradação do desempenho que foi abordada pelo patch ACSD-51892. Os comerciantes não são afetados pelo problema tratado por esse patch, que é descrito no ACSD-51892: problema de desempenho em que os arquivos de configuração são carregados várias vezes artigo da Base de Dados de Conhecimento.

Adobe Commerce 2.4.6-p1

A versão de segurança 2.4.6-p1 do Adobe Commerce fornece correções de bugs de segurança para vulnerabilidades que foram identificadas em versões anteriores. Esta versão também inclui aprimoramentos de segurança e atualizações de plataforma para melhorar a conformidade com as práticas recomendadas de segurança mais recentes.

Para obter as informações mais recentes sobre as correções de erros de segurança, consulte o Boletim de Segurança de Adobe APSB23-35.

Aplicar patch para resolver a vulnerabilidade de segurança CVE-2022-31160 na biblioteca jQuery-UI

A biblioteca jQuery-UI versão 1.13.1 tem uma vulnerabilidade de segurança conhecida (CVE-2022-31160) que afeta várias versões do Adobe Commerce e do Magento Open Source. Esta biblioteca é uma dependência do Adobe Commerce e do Magento Open Source 2.4.4, 2.4.5 e 2.4.6. Os comerciantes que executam implantações afetadas devem aplicar o patch especificado no artigo da Base de Dados de Conhecimento vulnerabilidade de segurança da interface de consulta CVE-2022-31160 para as versões 2.4.4, 2.4.5 e 2.4.6.

Realce de segurança

O comportamento padrão da consulta GraphQL isEmailAvailable e do ponto de extremidade REST V1/customers/isEmailAvailable foi alterado. Por padrão, a API agora sempre retorna true. Os comerciantes podem habilitar o comportamento original, que é retornar true se o email não existir no banco de dados e false se ele existir.

Atualizações da plataforma

As atualizações de plataforma para esta versão melhoram a conformidade com as práticas recomendadas de segurança mais recentes.

  • Suporte ao cache de verniz 7.3. Esta versão é compatível com a versão mais recente do Varnish Cache 7.3. A compatibilidade permanece com as versões 6.0.x e 7.2.x, mas o Adobe recomendou usar o Adobe Commerce 2.4.6-p1 somente com o Cache do Varnish versão 7.3 ou versão 6.0 LTS.

  • Suporte ao RabbitMQ 3.11. Esta versão é compatível com a versão mais recente do RabbitMQ 3.11. A compatibilidade permanece com o RabbitMQ 3.9, que é compatível até agosto de 2023, mas o Adobe recomendado usando o Adobe Commerce 2.4.6-p1 somente com o RabbitMQ 3.11.

  • Bibliotecas JavaScript. As bibliotecas JavaScript desatualizadas foram atualizadas para as versões secundárias ou de patch mais recentes, incluindo a biblioteca moment.js (v2.29.4), a biblioteca jQuery UI (v1.13.2) e a biblioteca de plug-in de validação jQuery (v1.19.5).

Problemas conhecidos

  • O arquivo nginx.sample foi atualizado inadvertidamente com uma alteração que modifica o valor de fastcgi_pass de fastcgi_backend para php-fpm:9000. Essa alteração pode ser revertida ou ignorada com segurança.

  • Dependências ausentes para o pacote de segurança B2B causam o seguinte erro de instalação ao instalar ou atualizar a extensão B2B para 1.4.0.

    code language-none 
    Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - Root composer.json requires magento/extension-b2b 1.4.0 -> satisfiable by magento/extension-b2b[1.4.0].
    - magento/extension-b2b 1.4.0 requires magento/security-package-b2b 1.0.4-beta1 -> found magento/security-package-b2b[1.0.4-beta1] but it does not match your minimum-stability.

Installation failed, reverting ./composer.json and ./composer.lock to their original content.

    Esse problema pode ser resolvido adicionando dependências manuais para o pacote de segurança B2B com uma marca de estabilidade. Para obter detalhes, consulte as notas de versão B2B.

recommendation-more-help
1d4eef6c-fef1-4e61-85eb-b58d7b9ac29f