ID del boletín
Última actualización el
25 sep. 2023
Actualizaciones de seguridad disponibles para Adobe Experience Manager | APSB23-31
|
|
Fecha de publicación |
Prioridad |
|---|---|---|
|
APSB23-31 |
13 de junio de 2023 |
3 |
Resumen
Adobe ha publicado actualizaciones para Adobe Experience Manager (AEM). Estas actualizaciones solucionan vulnerabilidades consideradas importantes y moderadas en Adobe Experience Manager, incluidas dependencias de terceros. El aprovechamiento de estas vulnerabilidades podría dar lugar a la ejecución arbitraria de código, la denegación del servicio y la omisión de la función de seguridad.
Versión afectada del producto
| Producto | Versión | Plataforma |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Todas |
| 6.5.16.0 y versiones anteriores |
Todas |
Solución
Adobe categoriza estas actualizaciones de acuerdo con los siguientes niveles de prioridad y recomienda que los usuarios actualicen los programas a las versiones más recientes:
Producto |
Versión |
Plataforma |
Prioridad |
Disponibilidad |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service versión 2023.4 |
Todas | 3 | Notas de la versión |
| 6.5.17.0 | Todas |
3 |
Notas de la versión de AEM 6.5 Service Pack |
Nota:
Los clientes que ejecuten en Cloud Service de Adobe Experience Manager recibirán actualizaciones automáticamente con nuevas funciones, así como correcciones de errores de seguridad y funcionalidad.
Nota:
Consideraciones de seguridad de Experience Manager:
Consideraciones de seguridad de AEM as a Cloud Service
Paquete de refuerzo de permisos anónimos
Nota:
Póngase en contacto con el servicio de atención al cliente de Adobe para obtener ayuda relacionada con AEM 6.4, 6.3 y 6.2.
Detalles sobre la vulnerabilidad
|
Categoría de vulnerabilidad |
Impacto de la vulnerabilidad |
Gravedad |
Puntuación base CVSS |
Número CVE |
|
|---|---|---|---|---|---|
|
Ejecución de scripts en sitios múltiples (XSS reflejado) (CWE-79) |
Ejecución de código arbitraria |
Importante |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29304 |
|
Redirección de URL a sitio no fiable ('Open Redirect') (CWE-601) |
Omisión de la función de seguridad |
Moderada |
3,5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N |
CVE-2023-29307 |
|
Ejecución de scripts en sitios múltiples (XSS reflejado) (CWE-79) |
Ejecución de código arbitraria |
Importante |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29322 |
|
Ejecución de scripts en sitios múltiples (XSS reflejado) (CWE-79) |
Ejecución de código arbitraria |
Importante |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29302 |
Actualizaciones de dependencias
| CVE | Dependencia |
Impacto de la vulnerabilidad |
Versiones afectadas |
| CVE-2023-26513 |
Apache Sling |
Denegación de servicio |
AEM CS AEM 6.5.16.0 y versiones anteriores |
| CVE-2022-26336 |
PDI de Apache |
Denegación de servicio |
AEM CS AEM 6.5.16.0 y versiones anteriores |
Nota:
Si un cliente utiliza Apache httpd en un proxy con una configuración no predeterminada, es posible que se vea afectado por CVE-2023-25690 - obtenga más información aquí: https://httpd.apache.org/security/vulnerabilities_24.html
Reconocimientos
Adobe desea dar las gracias a las siguientes personas por informar sobre estos problemas y por colaborar con Adobe para ayudarnos a proteger la seguridad de nuestros clientes:
- Jim Green (green-jam) -- CVE-2023-29304, CVE-2023-29302
- Osama Yousef (osamayousef) -- CVE-2023-29307
- Lorenzo Pirondini -- CVE-2023-29322
NOTA: Adobe tiene un programa privado de detección de errores con HackerOne (solo con invitación). Si le interesa trabajar con Adobe como investigador de seguridad externo, rellene este formulario para los siguientes pasos.
Revisiones
19 de septiembre de 2023 - Actualización de dependencias
11 de julio de 2023 - Actualizaciones de dependencias revisadas.
15 de junio de 2023 - Investigador "lpi" revisado para "Lorenzo Pirondini".
Para obtener más información, visite https://helpx.adobe.com/es/security.html o envíe un correo electrónico a la dirección PSIRT@adobe.com.
