Référence du bulletin
Dernière mise à jour le
16 juin 2021
Mises à jour de sécurité disponibles pour Adobe Experience Manager | APSB21-39
|
|
Date de publication |
Priorité |
|---|---|---|
|
APSB21-39 |
08 juin 2021 |
2 |
Récapitulatif
Adobe a publié des mises à jour pour Adobe Experience Manager (AEM). Ces mises à jour corrigent des vulnérabilités jugées importantes et modérées. L’exploitation réussie de ces vulnérabilités pourrait entraîner l’exécution arbitraire de code JavaScript dans le navigateur.
Versions concernées
| Produit | Version | Plate-forme |
|---|---|---|
Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Toutes |
| 6.5.8.0 et versions antérieures |
Toutes |
Solution
Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :
Produit |
Version |
Plate-forme |
Priorité |
Disponibilité |
|---|---|---|---|---|
Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Toutes | 2 | Notes de mise à jour |
6.5.9.0 |
Toutes |
2 |
Notes de mise à jour Service Pack pour AEM 6.5 |
Remarque :
Les clients qui utilisent Cloud Service d’Adobe Experience Manager recevront automatiquement des mises à jour incluant de nouvelles options, ainsi que des correctifs de bogues de sécurité et de fonctionnalité.
Remarque :
Veuillez contacter l’Assistance clientèle d’Adobe pour obtenir de l’aide sur les versions 6.2 et 6.3 d’AEM.
Détails concernant la vulnérabilité
|
Catégorie de la vulnérabilité |
Impact de la vulnérabilité |
Gravité |
Score de base CVSS |
Référence CVE |
|
|---|---|---|---|---|---|
|
Cross-site scripting, XSS (CWE-79) |
Exécution de code arbitraire |
Importante |
6.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L |
CVE-2021-28625 |
|
Autorisation incorrecte (CWE-285) |
Déni de service d’application |
Modéré |
3.7 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L |
CVE-2021-28626 |
|
Usurpation de requête côté serveur (SSRF) (CWE-918) |
Contournement des fonctions de sécurité |
Importante |
5,4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:L |
CVE-2021-28627 |
|
Cross-site scripting, XSS (CWE-79) |
Exécution de code arbitraire |
Importante |
6.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L |
CVE-2021-28628 |
Mises à jour des dépendances
| Dépendance |
Impact de la vulnérabilité |
Versions concernées |
| Apache Xerces2 |
Déni de service d’application |
AEM CS AEM 6.5.8.0 et versions antérieures |
| Apache Sling | Contrôle d’accès incorrect | AEM CS AEM 6.5.8.0 et versions antérieures |
| Handlebars.js |
Contrôle d’accès incorrect | AEM CS AEM 6.5.8.0 et versions antérieures |
| Uber Jar |
Exécution de code à distance | AEM CS AEM 6.5.8.0 et versions antérieures |
| jQuery |
Contrôle d’accès incorrect |
AEM CS AEM 6.5.8.0 et versions antérieures |
| Eclipse Jetty |
Consommation de ressources non contrôlée | AEM CS AEM 6.5.8.0 et versions antérieures |
Remerciements
Adobe tient à remercier SignorRossi (CVE-2021-28627) d’avoir signalé ce problème et joint ses efforts aux nôtres pour protéger nos clients.
Révisions
15 juin 2021 : Mise à jour du vecteur CVSS pour CVE-2021-28626.
Pour plus d’informations, visitez /content/help/fr/fr/security.html ou envoyez un e-mail à PSIRT@adobe.com.
Adobe
Recevez de l’aide plus rapidement et plus facilement
Nouvel utilisateur ?
Adobe MAX
La conférence sur la créativité
Du 14 au 16 octobre à Miami Beach et en ligne
Adobe MAX
La conférence sur la créativité
Du 14 au 16 octobre à Miami Beach et en ligne