Magento 2.4.6-p7 und 2.4.7-p2: Sicherheitsupdate vom August 2024
Mit APSB24-61 hat Adobe im August 2024 mehrere kritische Lücken in Magento 2 geschlossen. Betroffene Versionen, die passenden Updates und ein isolierter Patch für Apache-Server.
Am 13. August 2024 hat Adobe das Sicherheitsbulletin APSB24-61 veröffentlicht. Es schließt kritische Lücken in Magento 2 und Adobe Commerce, die unter anderem zum Ausführen von Code, zum Lesen von Dateien und zur Rechteausweitung führen können.
Betroffene Versionen und Updates
- 2.4.7-p1 und älter → Update auf 2.4.7-p2
- 2.4.6-p6 und älter → Update auf 2.4.6-p7
- 2.4.5-p8 und älter → Update auf 2.4.5-p9
- 2.4.4-p9 und älter → Update auf 2.4.4-p10
2.4.6-p7 läuft weiterhin mit PHP 8.1 und 8.2. Wer auf 2.4.6 bleibt, kann das Update also ohne PHP-Wechsel einspielen.
Sonderfall Apache: CVE-2024-39397
Eine der Lücken (CVE-2024-39397) erlaubt das Hochladen beliebiger Dateien und betrifft nur Shops, die auf dem Apache-Webserver laufen. Dafür gibt es zusätzlich einen isolierten Patch für die Versionen 2.4.4 bis 2.4.7. Laufen Sie auf Apache und können nicht sofort das ganze Update einspielen, ist dieser Patch das Mindeste.
Wie dringend ist es?
Adobe waren zum Zeitpunkt der Veröffentlichung keine Angriffe bekannt. Die Erfahrung mit CosmicSting zeigt aber, dass zwischen Patch und ersten Angriffen oft nur Tage liegen. Ich spiele solche Updates in den von mir betreuten Shops innerhalb weniger Tage ein, nach einem Test auf Staging.
Wenn Sie Hilfe beim Update brauchen, schreiben Sie mir.
Quelle: Adobe APSB24-61.