Bulletin-ID
Zuletzt aktualisiert am
25. September 2023
Sicherheits-Updates für Adobe Experience Manager verfügbar | APSB23-31
|
|
Veröffentlichungsdatum |
Priorität |
|---|---|---|
|
APSB23-31 |
13. Juni 2023 |
3 |
Zusammenfassung
Adobe hat Sicherheitsupdates für Adobe Experience Manager (AEM) veröffentlicht. Diese Updates beheben als wichtig und mittelschwer eingestufte Sicherheitslücken in Adobe Experience Manager, einschließlich Abhängigkeiten von Drittanbietern. Die erfolgreiche Nutzung dieser Schwachstellen könnte zur Ausführung von beliebigem Code, Denial-of-Service und zur Umgehung von Sicherheitsfunktionen führen.
Betroffene Produktversionen
| Produkt | Version | Plattform |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Alle |
| 6.5.16.0 und frühere Versionen |
Alle |
Lösung
Adobe empfiehlt allen Anwendern die Installation der neuesten Version und stuft die Priorität dieser Updates wie folgt ein:
Produkt |
Version |
Plattform |
Priorität |
Verfügbarkeit |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service-Version 2023.4 |
Alle | 3 | Versionshinweise |
| 6.5.17.0 | Alle |
3 |
AEM 6.5 Service Pack – Versionshinweise |
Hinweis:
Kunden, die den Cloud Service von Adobe Experience Manager nutzen, erhalten automatisch Updates mit neuen Funktionen sowie Fehlerbehebungen für Sicherheit und Funktionalität.
Hinweis:
Experience Manager Sicherheitsüberlegungen:
AEM as a Cloud Service Sicherheitsüberlegungen
Anonyme Berechtigungshärtung Paket
Hinweis:
Bitte wenden Sie sich für Hilfe mit den AEM-Versionen 6.4, 6.3 und 6.2 an die Adobe Kundenunterstützung.
Sicherheitslückendetails
|
Sicherheitslückenkategorie |
Sicherheitslückenauswirkung |
Problemstufe |
CVSS-Basispunktzahl |
CVE-Nummer |
|
|---|---|---|---|---|---|
|
Cross-Site-Scripting (Reflektiertes XSS) (CWE-79) |
Willkürliche Ausführung von Code |
Wichtig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29304 |
|
URL-Umleitung zu einer nicht vertrauenswürdigen Website ('Open Redirect') (CWE-601) |
Umgehung der Sicherheitsfunktionen |
Mittel |
3,5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N |
CVE-2023-29307 |
|
Cross-Site-Scripting (Reflektiertes XSS) (CWE-79) |
Willkürliche Ausführung von Code |
Wichtig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29322 |
|
Cross-Site-Scripting (Reflektiertes XSS) (CWE-79) |
Willkürliche Ausführung von Code |
Wichtig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29302 |
Updates für Abhängigkeiten
| CVE | Abhängigkeit |
Sicherheitslückenauswirkung |
Betroffene Versionen |
| CVE-2023-26513 |
Apache Sling |
Denial-of-Service |
AEM CS AEM 6.5.16.0 und früher |
| CVE-2022-26336 |
Apache POI |
Denial-of-Service |
AEM CS AEM 6.5.16.0 und früher |
Hinweis:
Wenn ein Kunde Apache httpd in einem Proxy mit einer nicht standardmäßigen Konfiguration verwendet, kann er von CVE-2023-25690 betroffen sein - bitte lesen Sie hier mehr: https://httpd.apache.org/security/vulnerabilities_24.html
Danksagung
Adobe bedankt sich bei den folgenden Forschern für das Melden dieser Schwachstellen und ihre Zusammenarbeit mit Adobe zum Schutz der Sicherheit unserer Kunden:
- Jim Green (green-jam) -- CVE-2023-29304, CVE-2023-29302
- Osama Yousef (osamayousef) -- CVE-2023-29307
- Lorenzo Pirondini -- CVE-2023-29322
HINWEIS: Adobe hat ein privates, nur für Einladungen bestimmtes Bug-Bounty-Programm mit HackerOne. Wenn Sie an einer Zusammenarbeit mit Adobe als externer Sicherheitsforscher interessiert sind, füllen Sie bitte dieses Formular aus, um die nächsten Schritte einzuleiten.
Überarbeitungen
19. Juli 2023 - Aktualisierungen der Abhängigkeiten
11. Juli 2023 - Aktualisierungen der Abhängigkeiten überarbeitet.
15. Juni 2023 - Forscher "lpi" überarbeitet zu "Lorenzo Pirondini".
Weitere Informationen erhalten Sie unter https://helpx.adobe.com/de/security.html oder per E-Mail an PSIRT@adobe.com.
