文档Commerce发行信息

Adobe Commerce 2.4.6安全修补程序的发行说明

Last update: Thu Jul 18 2024 00:00:00 GMT+0000 (Coordinated Universal Time)
  • 主题：

创建对象：

  • undefined
  • undefined
  • undefined

这些安全修补程序发行说明会捕获更新，以增强Adobe Commerce部署的安全性。 有关信息包括但不限于：

  • 安全错误修复
  • 安全功能亮点，提供有关安全修补程序中包含的增强功能和更新的更多详细信息
  • 已知问题
  • 根据需要应用其他修补程序的说明
  • 有关发行版中包含的任何修补程序的信息

了解有关安全修补程序版本的更多信息：

Adobe Commerce 2.4.6-p6

Adobe Commerce 2.4.6-p6安全版本为以前版本的2.4.6中发现的漏洞提供了安全错误修复。

有关安全错误修复的最新信息，请参阅Adobe安全公告APSB24-40。

应用适用于CVE-2024-34102的修补程序

IMPORTANT
这是有关CVE-2024-34102的上次通信的紧急更新。 Adobe知道，CVE-2024-34102在针对Adobe Commerce商人的非常有限的攻击中被利用。 立即采取措施解决此漏洞（如果尚未这样做）。

对于尚未应用2024年6月11日发布的安全修补程序或2024年6月28日发布的独立修补程序的客户：

选项1：

  1. 应用2024年6月11日发布的其中一个安全修补程序：

  2. 应用2024年7月17日发布的修补程序。

  3. 旋转加密密钥。

选项2：

  1. 应用隔离的修补程序。

  2. 旋转加密密钥。

对于已经应用了2024年6月11日发布的安全修补程序或2024年6月28日发布的独立修补程序的客户：

  1. 应用2024年7月17日发布的修补程序。

  2. 旋转加密密钥。

对于已经应用了1)2024年6月11日发布的安全补丁程序的客户，或2)2024年6月28日发布的独立补丁程序的客户，以及3)轮换其加密密钥的客户：

  1. 应用2024年7月17日发布的修补程序。

安全高光

为了与Commerce版本2.4.6-p6兼容，具有Adobe Commerce B2B扩展的商家必须升级到B2B版本1.4.2-p1。

其他安全增强功能

  • 添加了Subresource Integrity (SRI)支持 ​以符合PCI 4.0要求验证支付页面上的脚本完整性。 子资源完整性(SRI)支持为驻留在本地文件系统中的所有JavaScript资源提供完整性哈希。 默认SRI功能仅在管理员和店面区域的支付页面上实施。 但是，商家可以将默认配置扩展到其他页面。 请参阅​ Commerce PHP开发人员指南.中的子资源完整性

  • 对内容安全策略(CSP)的更改 — 对Adobe Commerce内容安全策略(CSP)的配置更新和增强以符合PCI 4.0要求。 有关详细信息，请参阅​ Commerce PHP Developer Guide ​中的内容安全策略。

    • Commerce管理员和店面区域的付款页面的默认CSP配置现在为restrict模式。 对于所有其他页面，默认配置为report-only模式。 在低于2.4.7的版本中，CSP在所有页面中均配置为report-only模式。

    • 添加了一个nonce提供程序，以允许在CSP中执行内联脚本。 nonce提供程序有助于为每个请求生成唯一的nonce字符串。 随后，这些字符串将附加到CSP标头。

    • 添加了用于配置自定义URI以报告“管理员”中“创建订单”页面和“店面”中“结帐”页面的CSP违规的选项。 您可以从管理员添加配置，或通过将URI添加到config.xml文件来添加。

      note note
      NOTE
      将CSP配置更新为restrict模式可能会阻止管理员和店面中付款页面上现有的内联脚本，这会导致页面加载时出现以下浏览器错误： Refused to execute inline script because it violates the following Content Security Policy directive: "script-src。 通过更新白名单配置以允许所需的脚本修复这些错误。 请参阅​_Commerce PHP开发人员指南_​中的疑难解答。

Adobe Commerce 2.4.6-p5

Adobe Commerce 2.4.6-p5安全版本为以前版本的2.4.6中发现的漏洞提供了安全错误修复。

有关这些修复的最新信息，请参阅Adobe安全公告APSB24-18。

Adobe Commerce 2.4.6-p4

Adobe Commerce 2.4.6-p4安全版本为以前版本中发现的漏洞提供了安全错误修复。 此版本还包括可提高对最新安全最佳实践合规性的安全增强功能。

有关安全错误修复的最新信息，请参阅Adobe安全公告APSB24-03。

安全性亮点

此版本引入了两项重要的安全增强功能：

  • 更改未生成的缓存键的行为：

    • 块的非生成缓存键现在包含与自动生成的键的前缀不同的前缀。 （未生成的缓存键是通过template指令语法或setCacheKey或setData方法设置的键。）
    • 块的非生成缓存键现在只能包含字母、数字、连字符(-)和下划线字符(_)。

  • 自动生成的优惠券代码数量的限制。 Commerce现在限制自动生成的优惠券代码数量。 默认最大值为250,000。 商家可以使用新的​ Code Quantity Limit ​配置选项(Stores > Settings:Configuration > Customers > Promotions)来控制此新限制。

Adobe Commerce 2.4.6-p3

Adobe Commerce 2.4.6-p3安全版本为以前版本中发现的漏洞提供了安全错误修复。 此版本还包括安全增强功能，可提高对最新安全最佳实践的合规性。

有关安全修复的最新信息，请参阅Adobe安全公告APSB23-50。

安全性亮点

此版本引入了新的全页缓存配置设置，可帮助减轻与{BASE-URL}/page_cache/block/esi HTTP端点相关的风险。 此端点支持来自Commerce布局句柄和块结构的无限制、动态加载的内容片段。 新的​ Handles Param ​配置设置设置此端点的handles参数的值，该值确定每个API允许的最大句柄数。 此属性的默认值为100。 商家可以从管理员(Stores > Settings:Configuration > System > Full Page Cache > Handles Param ​更改此值。

此版本中包含的修补程序

Adobe Commerce 2.4.6-p3包含修补程序ACSD-51892修复的性能降级问题的解决方法。 此修补程序解决的问题不会影响商家，此问题在ACSD-51892：配置文件加载多次的性能问题知识库文章中有所描述。

已知问题

问题： Adobe Commerce在Composer从repo.magento.com下载期间显示wrong checksum错误，包下载中断。 在下载预发行期间提供的发行包时可能会出现此问题，这是由于重新打包magento/module-page-cache包导致的。

解决方法：在下载过程中看到此错误的商家可以采取以下步骤：

  1. 删除项目中的/vendor目录（如果存在）。
  2. 运行bin/magento composer update magento/module-page-cache命令。 此命令仅更新page cache包。

如果校验和问题仍然存在，请先删除composer.lock文件，然后再重新运行bin/magento composer update命令以更新每个包。

2.4.6 - p2

Adobe Commerce 2.4.6-p2安全版本为以前版本中发现的漏洞提供了安全错误修复。 此版本还提供了安全增强功能，以改进对最新安全最佳实践的合规性。

有关安全错误修复的最新信息，请参阅Adobe安全公告APSB23-42。

应用补丁以解决jQuery-UI库中的安全漏洞CVE-2022-31160

jQuery-UI库版本1.13.1具有已知的安全漏洞(CVE-2022-31160)，该漏洞会影响Adobe Commerce和Magento Open Source的多个版本。 此库依赖于Adobe Commerce和Magento Open Source2.4.4、2.4.5和2.4.6。运行受影响部署的商户应应用针对2.4.4、2.4.5和2.4.6版本🔗知识库文章的jQuery UI安全漏洞CVE-2022-31160修复中指定的修补程序。

安全性突出显示

nginx.sample文件中的fastcgi_pass值已返回至其上一个（早于2.4.6-p1）值fastcgi_backend。 在Adobe Commerce 2.4.6-p1中，此值无意中更改为php-fpm:9000。

此版本中包含的修补程序

Adobe Commerce 2.4.6-p2包括对ACSD-51892补丁所解决的性能下降问题的解决方法。 此修补程序解决的问题不会影响商家，此问题在ACSD-51892：配置文件加载多次的性能问题知识库文章中有所描述。

Adobe Commerce 2.4.6-p1

Adobe Commerce 2.4.6-p1安全版本为以前版本中发现的漏洞提供了安全错误修复。 此版本还包括安全增强和平台升级，以改进对最新安全最佳实践的合规性。

有关安全错误修复的最新信息，请参阅Adobe安全公告APSB23-35。

应用补丁以解决jQuery-UI库中的安全漏洞CVE-2022-31160

jQuery-UI库版本1.13.1具有已知的安全漏洞(CVE-2022-31160)，该漏洞会影响Adobe Commerce和Magento Open Source的多个版本。 此库依赖于Adobe Commerce和Magento Open Source2.4.4、2.4.5和2.4.6。运行受影响部署的商户应应用查询UI安全漏洞CVE-2022-31160针对2.4.4、2.4.5和2.4.6版本知识库文章中指定的修补程序。

安全性突出显示

isEmailAvailable GraphQL查询和(V1/customers/isEmailAvailable) REST端点的默认行为已更改。 默认情况下，API现在始终返回true。 商家可以启用原始行为，如果数据库中不存在电子邮件，则返回true；如果存在，则返回false。

平台升级

此版本的平台升级可改善对最新安全最佳实践的合规性。

  • 清漆缓存7.3支持。 此版本与最新版本的Varnish Cache 7.3兼容。与6.0.x和7.2.x版本的兼容性保持不变，但Adobe建议仅将Adobe Commerce 2.4.6-p1与Varnish Cache版本7.3或版本6.0 LTS一起使用。

  • RabbitMQ 3.11支持。 此版本与最新版本的RabbitMQ 3.11兼容。兼容性保持与RabbitMQ 3.9的兼容，该版本在2023年8月之前受支持，但Adobe建议仅在RabbitMQ 3.11中使用Adobe Commerce 2.4.6-p1。

  • JavaScript库。 过时的JavaScript库已升级到最新的次要或修补程序版本，包括moment.js库(v2.29.4)、jQuery UI库(v1.13.2)和jQuery验证插件库(v1.19.5)。

已知问题

  • nginx.sample文件无意中更新了更改，将fastcgi_pass的值从fastcgi_backend修改为php-fpm:9000。 可以安全地还原或忽略此更改。

  • 在安装或将B2B扩展升级到1.4.0时，缺少B2B安全包的依赖项会导致以下安装错误。

    code language-none 
    Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - Root composer.json requires magento/extension-b2b 1.4.0 -> satisfiable by magento/extension-b2b[1.4.0].
    - magento/extension-b2b 1.4.0 requires magento/security-package-b2b 1.0.4-beta1 -> found magento/security-package-b2b[1.0.4-beta1] but it does not match your minimum-stability.

Installation failed, reverting ./composer.json and ./composer.lock to their original content.

    通过为带有稳定性标记的B2B安全包添加手动依赖关系，可以解决此问题。 有关详细信息，请参阅B2B发行说明。

recommendation-more-help
1d4eef6c-fef1-4e61-85eb-b58d7b9ac29f