情報 ID
最終更新日 :
2024年10月23日
Adobe Commerce に関するセキュリティアップデート公開 | APSB24-73
|
|
公開日 |
優先度 |
|---|---|---|
|
APSB24-73 |
2024 年 10 月 8 日 |
2 |
要約
対象のバージョン
| 製品名 | バージョン | プラットフォーム |
|---|---|---|
| Adobe Commerce |
2.4.7-p2 以前 2.4.6-p7 以前 2.4.5-p9 以前 2.4.4-p10 以前 |
すべて |
| Adobe Commerce B2B |
1.4.2-p2 以前 1.3.5-p7 以前 1.3.4-p9 以前 1.3.3-p10 以前 |
すべて |
| Magento Open Source | 2.4.7-p2 以前 2.4.6-p7 以前 2.4.5-p9 以前 2.4.4-p10 以前 |
すべて |
注：わかりやすくするために、記載されている対象のバージョンは、最新バージョンのみではなく、サポートされているリリースラインごとに記載されるようになりました。
解決策
アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。
| 製品名 | アップデートバージョン | プラットフォーム | 優先度評価 | インストール手順 |
|---|---|---|---|---|
| Adobe Commerce |
2.4.7-p2 以前の場合は 2.4.7-p3 |
すべて |
3 |
|
| Adobe Commerce B2B |
1.4.2-p2 以前の場合は 1.4.2-p3 1.3.5-p7 以前の場合は 1.3.5-p8 1.3.4-p9 以前の場合は 1.3.4-p10 1.3.3-p10 以前の場合は 1.3.3-p11 |
すべて | 2 | |
| Adobe Commerce B2B |
CVE-2024-45115 に対する個別のパッチ 1.3.3 ～ 1.4.2 のすべての Adobe Commerce B2B バージョンと互換性があります |
すべて | 2 | |
| Magento Open Source |
2.4.7-p2 以前の場合は 2.4.7-p3 |
すべて |
3 |
脆弱性に関する詳細
| 脆弱性のカテゴリー | 脆弱性の影響 | 深刻度 | 悪用する場合に認証が必要か？ | 悪用する場合に管理者権限が必要か？ |
CVSS 基本スコア |
CVSS ベクター |
CVE 番号 | メモ |
|---|---|---|---|---|---|---|---|---|
| 不正な認証（CWE-287） |
権限昇格 |
クリティカル |
いいえ | いいえ | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45115 | B2B エディションにのみ該当します |
| 不正な認証（CWE-287） |
セキュリティ機能のバイパス |
クリティカル | いいえ | いいえ | 8.8 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2024-45148 |
B2B エディションにのみ該当します |
| クロスサイトスクリプティング（保存済み XSS）（CWE-79） |
任意のコード実行 |
クリティカル | はい | はい | 8.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-45116 | |
| 不適切な入力検証（CWE-20） |
任意のファイルシステム読み取り |
クリティカル |
はい | はい | 7.6 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L |
CVE-2024-45117 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
重要 | はい | はい | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
CVE-2024-45118 | |
| サーバー側要求偽造（SSRF）（CWE-918） |
任意のファイルシステム読み取り |
重要 | はい | はい | 5.5 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N |
CVE-2024-45119 | |
| Time-of-check Time-of-use（TOCTOU）レースコンディション（CWE-367） |
セキュリティ機能のバイパス | 中度 | はい | いいえ | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-45120 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
中度 | はい | はい | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45121 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
中度 |
はい | はい | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45122 | |
| クロスサイトスクリプティング（保存済み XSS）（CWE-79） |
任意のコード実行 |
クリティカル | はい | はい | 6.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45123 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
重要 | はい | いいえ | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45124 | |
| 不正な承認（CWE-863） |
セキュリティ機能のバイパス |
中度 | はい | はい | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45125 | |
| クロスサイトスクリプティング（保存済み XSS）（CWE-79） |
任意のコード実行 |
クリティカル | はい | はい | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-45127 | |
| 不正な認証（CWE-285） |
セキュリティ機能のバイパス |
重要 | はい | はい | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
CVE-2024-45128 | |
| 不正なアクセス制御（CWE-284） |
権限昇格 |
中度 | はい | はい | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45129 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
中度 | はい | はい | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45130 | |
| 不正な認証（CWE-285） |
セキュリティ機能のバイパス |
重要 | はい | はい | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
CVE-2024-45131 | |
| 不正な認証（CWE-285） |
権限昇格 |
重要 | はい | はい | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-45132 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
中度 | はい | はい | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45133 | |
| 情報漏えい（CWE-200） |
セキュリティ機能のバイパス |
中度 | はい | はい | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45134 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
中度 | はい | いいえ | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
CVE-2024-45135 | |
| 不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
中度 |
はい | はい | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-45149 |
注意：
悪用する場合に認証が必要: この脆弱性は、資格情報がないと悪用される可能性があります（またはありません）。
悪用する場合に管理者権限が必要: この脆弱性は、管理者権限を持つ攻撃者のみによって悪用される可能性があります（またはありません）。
謝辞
一連の問題を報告し、ユーザーの保護にご協力いただいた以下の研究者の皆様に対し、アドビより厚く御礼を申し上げます。
- Akash Hamal 氏（akashhamal0x01）- CVE-2024-45118、CVE-2024-45120、CVE-2024-45121、CVE-2024-45122、CVE-2024-45128、CVE-2024-45129、CVE-2024-45130、CVE-2024-45131、CVE-2024-45132
- Blaklis 氏（blaklis）-CVE-2024-45115、CVE-2024-45123、CVE-2024-45133、CVE-2024-45134、CVE-2024-45135、CVE-2024-45148、CVE-2024-45149
- Wohlie 氏 - CVE-2024-45117
- Javier Corral 氏（corraldev）- CVE-2024-45116
- truff - CVE-2024-45119
- Prashant Bhattarai 氏（g0ndaar）- CVE-2024-45124
- n1nj4sec 氏 - CVE-2024-45125
- Tara Owens 氏（tmoh4kr）- CVE-2024-45127
注：アドビは、HackerOne と非公開で招待制のバグバウンティープログラムを実施しています。アドビの外部セキュリティリサーチャーとして働くことに興味がある方は、次のステップをお知らせしますので、このフォームにご記入ください。
詳しくは、https://helpx.adobe.com/jp/security.htmlを参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。
