Bulletin-ID
Sidst opdateret den
18. apr. 2024
Sikkerhedsopdateringer til Adobe Experience Manager | APSB24-21
|
|
Udgivelsesdato |
Prioritet |
|---|---|---|
|
APSB24-21 |
9. april 2024 |
3 |
Resumé
Adobe har frigivet opdateringer til Adobe Experience Manager (AEM). Disse opdateringer løser en række vigtige sikkerhedsproblemer. En udnyttelse af disse sårbarheder kan det resultere i eksekvering af skadelig kode og omgåelse af sikkerhedsfunktioner.
Berørte produktversioner
| Produkt | Version | Platform |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Alle |
| 6.5.19 og tidligere versioner |
Alle |
Løsning
Adobe kategoriserer disse opdateringer med følgende prioritetsgrader og anbefaler, at brugere opdaterer deres installation til den nyeste version:
Produkt |
Version |
Platform |
Prioritet |
Tilgængelighed |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service-version 2024.03 |
Alle | 3 | Produktbemærkninger |
| 6.5.20 | Alle |
3 |
Produktbemærkninger til AEM 6.5 Service Pack |
Bemærk:
Kunder, der kører på Adobe Experience Manager’s Cloud Service, vil automatisk modtage opdateringer, som indeholder nye funktioner samt sikkerheds- og funktionsfejlrettelser.
Bemærk:
Experience Manager Security Considerations:
AEM as a Cloud Service Considerations
Anonym tilladelsesforstærkningspakke
Bemærk:
Kontakt Adobes kundeservice for at få assistance til AEM-versionerne 6.4, 6.3 og 6.2.
Sikkerhedsoplysninger
| Sikkerhedskategori |
Virkning af sikkerhedsproblem |
Alvorlighed |
CVSS-basisscore |
CVSS-vektor |
CVE-nummer |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26046 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26047 |
| Afsløring af oplysninger (CWE-200) | Sikkerhedsomgåelse | Vigtigt | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N | CVE-2024-26076 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26079 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26084 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26087 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26097 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26098 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26122 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20778 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20779 |
| Cross-site scripting (lagret XSS) (CWE-79) |
Vilkårlig kodekørsel |
Vigtigt | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20780 |
Bemærk:
Hvis en kunde bruger Apache httpd i en proxy med en anden konfiguration end standardkonfigurationen, kan de være berørt af CVE-2023-25690 - læs mere her: https://httpd.apache.org/security/vulnerabilities_24.html
Tak til følgende personer
Adobe vil gerne takke følgende personer for at rapportere disse sikkerhedsproblemer og for at samarbejde med Adobe for at beskytte vores kunder:
- Lorenzo Pirondini – CVE-2024-26047, CVE-2024-26076, CVE-2024-26079, CVE-2024-26084,
- Jim Green (green-jam) – CVE-2024-26087, CVE-2024-26097, CVE-2024-26098, CVE-2024-26122, CVE-2024-20778 CVE-2024-20779 CVE-2024-20780
- Akshay Sharma (anonymous_blackzero) – CVE-2024-26046
BEMÆRK: Adobe har et privat bug bounty-program med HackerOne, som kun er åbent for inviterede. Hvis du er interesseret i at arbejde med Adobe som ekstern sikkerhedsforsker, kan du udfylde denne formular for de næste trin.
Du kan få yderligere oplysninger på https://helpx.adobe.com/dk/security.html eller ved at skrive til PSIRT@adobe.com.
