公告 ID
上次更新日期：
2021年4月29日
可用于 Adobe Experience Manager 的安全更新 | APSB19-48
|
|
发布日期 |
优先级 |
|---|---|---|
|
APSB19-48 |
2019 年 10 月 15 日 |
2 |
摘要
Adobe 发布了适用于 Adobe Experience Manager (AEM) 的安全更新。这些更新解决了 AEM 版本 6.3、6.4 和 6.5 中的多个漏洞。成功利用这些漏洞可能导致对 AEM 环境的未授权访问。
受影响的产品版本
|
产品 |
版本 |
平台 |
|---|---|---|
|
Adobe Experience Manager |
6.5 6.4 6.3 6.2 6.1 6.0 |
全部 |
解决方案
Adobe 按照以下优先级将更新分类，并建议用户将其安装的软件更新至最新版本：
请联系 Adobe 客户关怀团队，以获取有关 AEM 早期版本的帮助。
漏洞详情
| 漏洞类别 |
漏洞影响 |
严重性 |
CVE 编号 |
受影响的版本 | 下载包 |
|---|---|---|---|---|---|
| 跨站点请求伪造 | 敏感信息泄漏 | 重要 | CVE-2019-8234
|
AEM 6.2 AEM 6.3 AEM 6.4 |
|
| 反射型跨站脚本攻击 | 敏感信息泄漏
|
中等 | CVE-2019-8078 | AEM 6.2 AEM 6.3 AEM 6.4 |
|
| 存储型跨站脚本攻击 | 敏感信息泄漏 | 重要 | CVE-2019-8079 | AEM 6.0 AEM 6.1 AEM 6.2 AEM 6.3 AEM 6.4 |
|
| 存储型跨站脚本攻击 | 权限提升 | 重要 | CVE-2019-8080
|
AEM 6.3 AEM 6.4 |
|
身份验证绕过
|
敏感信息泄漏 | 重要 | CVE-2019-8081 | AEM 6.2 AEM 6.3 AEM 6.4 AEM 6.5 |
适用于 6.3 SP3 的累积修补程序包 - AEM-6.3.3.6 |
| XML 外部实体注入 | 敏感信息泄漏
|
重要 | CVE-2019-8082 | AEM 6.2 AEM 6.3 AEM 6.4 |
|
| 跨站脚本攻击 | 敏感信息泄漏
|
中等
|
CVE-2019-8083
|
AEM 6.3 AEM 6.4 AEM 6.5 |
适用于 6.3 SP3 的累积修补程序包 - AEM-6.3.3.6 |
| 反射型跨站脚本攻击 | 敏感信息泄漏
|
中等
|
CVE-2019-8084
|
AEM 6.2 AEM 6.3 AEM 6.4 AEM 6.5 |
适用于 6.3 SP3 的累积修补程序包 - AEM-6.3.3.6 |
反射型跨站脚本攻击
|
敏感信息泄漏
|
中等
|
CVE-2019-8085
|
AEM 6.2 AEM 6.3 AEM 6.4 AEM 6.5 |
适用于 6.3 SP3 的累积修补程序包 - AEM-6.3.3.6 |
XML 外部实体注入
|
敏感信息泄漏
|
重要
|
CVE-2019-8086
|
AEM 6.2 AEM 6.3 AEM 6.4 AEM 6.5
|
适用于 6.3 SP3 的累积修补程序包 - AEM-6.3.3.6 |
XML 外部实体注入
|
敏感信息泄漏
|
重要
|
CVE-2019-8087
|
AEM 6.2 AEM 6.3 AEM 6.4 AEM 6.5 |
适用于 6.3 SP3 的累积修补程序包 - AEM-6.3.3.6 |
JavaScript 代码插入
|
任意代码执行
|
关键
|
CVE-2019-8088*
|
AEM 6.2 AEM 6.3 AEM 6.4 AEM 6.5
|
适用于 6.3 SP3 的累积修补程序包 - AEM-6.3.3.6 |
注意:
JavaScript 代码执行 (CVE-2019-8088) 仅影响版本 6.2。从 6.3 开始，使用严格沙盒化的 Rhino 引擎执行 JavaScript，这降低了 CVE-2019-8088 的影响，使服务器端请求伪造 (SSRF) 攻击和拒绝服务 (DoS) 变得盲目。
注意:
注意：上表中列出的包是用于解决相关漏洞的最低版本修补程序包。有关最新版本，请参阅上面提供的发行说明链接。
鸣谢
Adobe 衷心感谢以下个人和组织，感谢他们报告相关问题并与 Adobe 一起帮助保护我们的客户：
Lorenzo Pirondini（来自 Cognizant Digital Business 旗下的 Netcentric）（CVE-2019-8078、CVE-2019-8079、CVE-2019-8080、CVE-2019-8083、CVE-2019-8084 和 CVE-2019-8085）
来自 T. Rowe Price Associates, Inc. (https://pankajupadhyay.in) 公司的 Pankaj Upadhyay (CVE-2019-8081)
Mikhail Egorov (@0ang3el)（CVE-2019-8086、CVE-2019-8087 和 CVE-2019-8088）
修订
2019 年 10 月 15 日：将 CVE ID 从 CVE-2019-8077 更新为 CVE-2019-8234。
2020 年 3 月 11 日：添加了一个阐明 JavaScript 代码执行 (CVE-2019-8088) 仅影响 AEM 6.2 的说明。
