Security Update für Adobe Commerce und Magento Open Source ( APSB22-48)

Adobe hat am 12. Oktober ein Security Update für Adobe Commerce und Magento Open Source veröffentlicht.

Dabei wird eine kritische Sicherheitslücke (CVE-2022-35698) geschlossen, die aber laut Adobe geringe Priorität hat, da sie derzeit noch nicht aktiv ausgenutzt wird - zumindest sind noch keine Angriffe über diesen Angriffsvektor bekannt.

Der Entdecker, der Sicherheitslücke, Blaklis, hat auf Twitter veröffentlicht, dass diese aber nicht schwer auszunutzen sei. 

Es ist derzeit noch nicht bekannt, in welchem Ausmaß Magento 2.4.3 oder darunter betroffen ist, laut offizieller Security Meldung bei Adobe sind aber alle Versionen vor 2.4.4-p1 und vor 2.4.5 betroffen.

Adobe Commerce 2.4.0 - 2.4.3 ist laut Adobe Lifecycle Policy derzeit noch offiziell bis 28. November 2022 supported, derzeit gibt es aber noch keinen Patch für diese Versionen von Adobe Commerce bzw. Magento Open Source.

Wir beobachten alle weiteren Informationen und Updates und werden diese auch auf dieser Seite entsprechend aktualisieren.

Update 14.10.2022:

Wie gestern Abend hier noch bekannt wurde, wird Adobe für alle betroffenen (und noch offiziell supporteten) Versionen einen Hotfix veröffentlichen. Derzeit gibt es noch keine genaue Information, wann dieser veröffentlicht wird. Es wird voraussichtlich frühestens Freitag Abend (US-Zeit), ansonsten zu Beginn der nächsten Woche so weit sein.

Update 18.10.2022:

Mittlerweile wurden weitere Informationen bekannt:
Nicht betroffen sind folgende Versionen:

• 2.4.5-p1
• 2.4.4-p2
• 2.4.3-p1
• 2.4.3
• 2.4.2-p2
• 2.4.2-p1
• 2.4.2
• 2.4.1-p1
• 2.4.1
• 2.4.0-p1
• 2.4.0
• 2.3.7-p2
• 2.3.7-p1
• 2.3.7
• 2.3.6-p1
• 2.3.6
• 2.3.5-p2
• 2.3.5-p1
• 2.3.4-p2
• 2.3.5
• 2.3.3-p1
• 2.3.4
• 2.3.2-p2
• 2.3.3
• 2.3.2
• 2.3.1
• 2.3.0

Betroffen sind folgende Versionen:

• 2.4.5
• 2.4.4-p1
• 2.4.4
• 2.4.3-p3
• 2.4.3-p2
• 2.3.7-p3
• 2.3.7-p4

Ein Hotfix ist für folgende Versionen verfügbar:

• 2.4.5
• 2.4.4-p1
• 2.4.4
• 2.4.3-p3
• 2.4.3-p2

Diese Versionen sind nicht mehr supported, somit auch kein Hotfix verfügbar:

• 2.3.7-p4
• 2.3.7-p3
• (and in general) 2.3.x

Keine Informationen verfügbar:

• 2.2.x
• 2.1.x
• 2.0.x
• 1.x.x.x

Die Patches downloaden sowie weitere Informationen gibt es hier:
Experience League Adobe - Security Hotfix
Adobe - Security Bulletin