Adobe Commerce 2.4.4安全性修補程式的發行說明
這些安全性修補程式發行說明會擷取更新，以增強Adobe Commerce部署的安全性。 資訊包括但不限於：
- 安全性錯誤修正
- 安全性重點專案，提供安全性修補程式中所包含增強功能和更新的詳細資訊
- 已知問題
- 視需要套用其他修補程式的指示
- 此發行版本包含的任何修補程式的相關資訊
深入瞭解安全性修補程式發行版本：
Adobe Commerce 2.4.4-p9
Adobe Commerce 2.4.4-p9安全性版本針對2.4.4先前版本中發現的弱點提供安全性錯誤修正。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB24-40。
套用CVE-2024-34102的Hotfix
對於尚未套用2024年6月11日發行的安全性修補程式或2024年6月28日發行的隔離修補程式的客戶：
選項1：
選項2：
對於已套用2024年6月11日發行的安全性修補程式或2024年6月28日發行的隔離修補程式的客戶：
針對已套用1)於2024年6月11日發行的安全性修補程式的客戶，或2)於2024年6月28日發行的隔離修補程式，以及3)輪換其加密金鑰的客戶：
- 套用2024年7月17日發行的Hotfix。
平台升級
- MariaDB 10.5支援。 此修補程式發行版本引入與MariaDB 10.5版的相容性。Adobe Commerce仍與MariaDB 10.4版相容，但Adobe建議使用Adobe Commerce 2.4.4-p9以及所有即將發行的2.4.4僅限安全性修補程式版本，僅與MariaDB 10.5版相容，因為MariaDB 10.4維護作業將於2024年6月18日結束。
其他安全性增強功能
-
已新增子資源完整性(SRI)支援，以符合PCI 4.0對驗證付款頁面上指令碼完整性的要求。 子資源完整性(SRI)支援為駐留在本機檔案系統中的所有JavaScript資產提供完整性雜湊。 預設SRI功能僅在管理員和店面區域的付款頁面上實作。 不過，商家可以將預設設定延伸至其他頁面。 請參閱 Commerce PHP開發人員指南.中的子資源完整性
-
內容安全性原則(CSP)的變更—Adobe Commerce內容安全性原則(CSP)的組態更新和增強功能，以符合PCI 4.0的要求。 如需詳細資訊，請參閱 Commerce PHP Developer Guide 中的內容安全性原則。
-
Commerce管理員和店面區域的付款頁面的預設CSP設定現在是
restrict模式。 對於所有其他頁面，預設設定為report-only模式。 在2.4.7之前的發行版本中，所有頁面的CSP都設定為report-only模式。 -
新增Nonce提供者，允許在CSP中執行內嵌指令碼。 Nonce提供者可協助為每個請求產生唯一的Nonce字串。 這些字串接著會附加至CSP標頭。
-
新增選項，可設定自訂URI以報告「管理員」中「建立訂單」頁面的CSP違規以及店面中的「結帳」頁面。 您可以從管理員新增設定，或將URI新增至
config.xml檔案。note note NOTE 將CSP設定更新為 restrict模式可能會封鎖管理員和店面中付款頁面上的現有內嵌指令碼，這會在頁面載入時導致下列瀏覽器錯誤：Refused to execute inline script because it violates the following Content Security Policy directive: "script-src。 更新白名單設定以允許必要的指令碼來修正這些錯誤。 請參閱_Commerce PHP開發人員指南_中的疑難排解。
-
2.4.4 - p8
Adobe Commerce 2.4.4-p8安全性版本為Adobe Commerce 2.4.4部署提供安全性錯誤修正。 這些更新會修正先前版本中發現的漏洞。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB24-18。
2.4.4 - p7
Adobe Commerce 2.4.4-p7安全性版本針對先前版本中發現的漏洞提供安全性錯誤修正。 此版本也包含安全性增強功能，可改善對最新安全性最佳實務的合規性。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB24-03。
安全性重點專案
此版本引進了兩項重要的安全性增強功能：
-
未產生快取金鑰的行為變更：
- 區塊的非產生快取金鑰現在包含與自動產生之金鑰的前置詞不同的前置詞。 （未產生的快取金鑰是透過範本指示詞語法或
setCacheKey或setData方法設定的金鑰。） - 區塊未產生的快取金鑰現在只能包含字母、數字、連字型大小(-)和底線字元(_)。
- 區塊的非產生快取金鑰現在包含與自動產生之金鑰的前置詞不同的前置詞。 （未產生的快取金鑰是透過範本指示詞語法或
-
自動產生優惠券代碼數目的限制。 Commerce現在會限制自動產生的抵用券代碼數量。 預設最大值為250,000。 商戶可以使用新的 Code Quantity Limit 組態選項(Stores > Settings:Configuration > Customers > Promotions)來控制這個新限制。
2.4.4 - p6
Adobe Commerce 2.4.4-p6安全性版本針對先前版本中發現的漏洞提供安全性錯誤修正。 此版本也包含安全性增強功能，可改善對最新安全性最佳實務的合規性。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB23-50。
此版本也包含安全性增強功能，可改善對最新安全性最佳實務的合規性。
安全性反白顯示
此發行版本引入新的全頁快取組態設定，有助於減輕與{BASE-URL}/page_cache/block/esi HTTP端點相關的風險。 此端點支援來自Commerce配置控點和區塊結構的不受限制、動態載入的內容片段。 新的 Handles Param 組態設定會設定此端點的handles引數值，此引數會決定每個API允許的控點數目上限。 此屬性的預設值為100。 商戶可從管理員(Stores > Settings: Configuration > System > Full Page Cache > Handles Param)變更此值。
已知問題
問題： Adobe Commerce在Composer從repo.magento.com下載期間顯示 錯誤的總和檢查碼 錯誤，且封裝下載已中斷。 此問題可能發生於下載發行前期間提供的發行套件期間，而且是由重新封裝magento/module-page-cache套件所造成。
因應措施：在下載期間看到此錯誤的商家可執行下列步驟：
- 刪除專案內的
/vendor目錄（如果存在）。 - 執行
bin/magento composer update magento/module-page-cache命令。 這個命令只會更新page cache封裝。
如果檢查值問題持續發生，請先移除composer.lock檔案，再重新執行bin/magento composer update命令以更新每個封裝。
2.4.4 - p5
Adobe Commerce 2.4.4-p5安全性版本針對先前版本中發現的漏洞提供安全性錯誤修正。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB23-42。
套用修補程式以解決安全性弱點jQuery-UI程式庫中的CVE-2022-31160
jQuery-UI資料庫1.13.1版具有已知的安全性弱點(CVE-2022-31160)，會影響多個版本的Adobe Commerce和Magento Open Source。 此程式庫相依於Adobe Commerce和Magento Open Source2.4.4、2.4.5和2.4.6。執行受影響部署的商戶應套用jQuery UI安全性弱點CVE-2022-31160針對2.4.4、2.4.5和2.4.6版本知識庫文章所指定的修補程式。
2.4.4 - p4
Adobe Commerce 2.4.4-p4安全性版本針對先前版本中發現的弱點提供安全性錯誤修正。 此版本也包含安全性增強功能和平台升級，以更符合最新的安全性最佳實務。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB23-35。
套用修補程式以解決安全性弱點jQuery-UI程式庫中的CVE-2022-31160
jQuery-UI資料庫1.13.1版具有已知的安全性弱點(CVE-2022-31160)，會影響多個版本的Adobe Commerce和Magento Open Source。 此程式庫相依於Adobe Commerce和Magento Open Source2.4.4、2.4.5和2.4.6。執行受影響部署的商戶應套用jQuery UI安全性弱點CVE-2022-31160針對2.4.4、2.4.5和2.4.6版本知識庫文章所指定的修補程式。
安全性反白顯示
isEmailAvailable GraphQL查詢和(V1/customers/isEmailAvailable) REST端點的預設行為已變更。 依預設，API現在一律會傳回true。 商家可以啟用原始行為，如果電子郵件不存在於資料庫中，則會傳回true；如果存在，則會傳回false。
平台升級
此版本的平台升級可改善對最新安全性最佳實務的合規性。
-
清漆快取7.3支援。 此版本相容於最新版的Varnish Cache 7.3。6.0.x和7u.2.x版本仍維持相容性，但Adobe建議僅將Adobe Commerce 2.4.4-p4與Varnish Cache 7.3或6.0版LTS搭配使用。
-
RabbitMQ 3.11支援。 此版本與最新版RabbitMQ 3.11相容。RabbitMQ 3.9仍支援相容性至2023年8月，但Adobe建議僅將Adobe Commerce 2.4.4-p4與RabbitMQ 3.11搭配使用。
-
JavaScript資料庫。 過時的JavaScript程式庫已升級至最新的次要或修補程式版本，包括
moment.js程式庫(v2.29.4)、jQuery UI程式庫(v1.13.2)和jQuery驗證外掛程式程式庫(v1.19.5)。
2.4.4 - p3
Adobe Commerce 2.4.4-p3安全性版本針對先前版本中發現的漏洞提供安全性錯誤修正。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB23-17。
2.4.4 - p2
Adobe Commerce 2.4.4-p2安全性版本針對先前版本中發現的弱點提供修正。 其中一項修正包括建立新的組態設定。 如果電子郵件已變更，需要電子郵件確認 組態設定可讓管理員在管理員使用者變更其電子郵件地址時，需要電子郵件確認。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告APSB22-48。
套用AC-3022.patch以繼續提供DHL作為運送業者
DHL已匯入schema 6.2版，並將在不久的未來淘汰schema 6.0版。 支援DHL整合的Adobe Commerce 2.4.4及舊版僅支援6.0版。部署這些版本的商戶應儘早套用AC-3022.patch，以繼續提供DHL作為運送承運商。 請參閱套用修補程式，以繼續提供DHL作為運送業者知識庫文章，以取得有關下載和安裝修補程式的資訊。
2.4.4 - p1
Adobe Commerce 2.4.4-p1安全性版本針對先前版本中發現的弱點提供修正。 此版本也包含安全性增強功能，可改善對最新安全性最佳實務的合規性。
如需安全性錯誤修正的最新資訊，請參閱Adobe安全性公告。t
套用AC-3022.patch以繼續提供DHL作為運送承運商
DHL已匯入schema 6.2版，並將在不久的未來淘汰schema 6.0版。 支援DHL整合的Adobe Commerce 2.4.4及舊版僅支援6.0版。部署這些版本的商戶應儘早套用AC-3022.patch，以繼續提供DHL作為運送承運商。 請參閱套用修補程式，以繼續提供DHL作為運送業者知識庫文章，以取得有關下載和安裝修補程式的資訊。
安全性重點專案
此版本的安全性改善專案可改善對最新安全性最佳實務的合規性，包括：
- ACL資源已新增至詳細目錄。
- 已增強詳細目錄範本安全性。
已知問題
問題：在2.4.4-p1封裝上執行時，Web API和整合測試會顯示此錯誤： [2022-06-14T16:58:23.694Z] PHP Fatal error: Declaration of Magento\TestFramework\ErrorLog\Logger::addRecord(int $level, string $message, array $context = []): bool must be compatible with Monolog\Logger::addRecord(int $level, string $message, array $context = [], ?Monolog\DateTimeImmutable $datetime = null): bool in /var/www/html/dev/tests/integration/framework/Magento/TestFramework/ErrorLog/Logger.php on line 69。 因應措施：執行require monolog/monolog:2.6.0命令以安裝舊版的Monolog。
問題：商家在從Adobe Commerce 2.4.4升級至Adobe Commerce 2.4.4-p1時，可能會注意到套件版本降級通知。 可以忽略這些訊息。 套件版本中的差異是因為產生套件期間發生異常所導致。 沒有任何產品功能受到影響。 請參閱從2.4.4升級為2.4.4-p1🔗知識庫文章後降級的套件，瞭解受影響的案例和因應措施。