Adoben tietoturvatiedote

Hae

Adobe Experience Managerin tietoturvapäivitykset | APSB24-05

Tiedotteen tunnus

Julkaisupäivä

Prioriteetti

APSB24-05

12. maaliskuuta 2024

3

Yhteenveto

Adobe on julkaissut päivityksiä Adobe Experience Manageriin (AEM). Nämä päivitykset ratkaisevat tärkeitä ja kohtalaisia haavoittuvuuksia.  Jos näitä haavoittuvuuksia onnistutaan hyödyntämään, se voi johtaa mielivaltaisen koodin suorittamiseen ja tietoturvaominaisuuksien ohittamiseen.

Alttiit tuoteversiot

Tuote Versio Ympäristö
Adobe Experience Manager (AEM)
 AEM Cloud Service (CS)
 Kaikki
6.5.19.0 ja aiemmat versiot 
 Kaikki

Ratkaisu

Adobe luokittelee päivitykset seuraavan prioriteettiluokituksen mukaisesti ja suosittelee käyttäjiä päivittämään asennuksensa uusimpaan versioon:

Tuote

Versio

Ympäristö

Prioriteetti

Saatavuus
Adobe Experience Manager (AEM) 
 AEM Cloud Service -versio 2024.03 
 Kaikki 3 Julkaisutiedot
6.5.20.0 Kaikki

3

 AEM 6.5 Service Packin julkaisutiedot 
Huomautus:

Adobe Experience Managerin Cloud Service -palvelua käyttävät asiakkaat saavat automaattisesti päivityksiä, jotka sisältävät uusia ominaisuuksia, kuten myös tietoturvaan ja toiminnallisuuteen liittyviä virheenkorjauksia.  

Huomautus:

Experience Managerin tietoturvanäkökohdat:

AEM as a Cloud Service -palvelun suojaukseen liittyvät näkökohdat
Anonyymi käyttöoikeuksien vahvistuspaketti

Huomautus:

Ota yhteyttä Adoben asiakaspalveluun, jos tarvitset apua AEM:n versioihin 6.4, 6.3 ja 6.2 liittyen.

Lisätietoja haavoittuvuuksista

Haavoittuvuusluokka
 Haavoittuvuuden vaikutus
 Vakavuus
 CVSS-peruspisteet
 CVSS-vektori
 CVE-numero
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26028
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26030
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26031
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26032
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26033
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26034
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26035
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26038
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26040
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26041
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26042
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26043
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26044
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26045
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 4.5 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N CVE-2024-26050
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26052
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26056
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26059
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26061
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26062
Tietojen paljastuminen (CWE-200) Tietoturvaominaisuuden ohitus Tärkeä 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVE-2024-26063
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26064
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26065
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26067
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26069
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26073
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26080
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26094
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26096
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26102
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26103
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26104
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26105
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26106
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26107
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26118
Sopimaton käyttöoikeuksien valvonta (CWE-284) Tietoturvaominaisuuden ohitus Tärkeä 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVE-2024-26119
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26120
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26124
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26125
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-20760
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-20768
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
 CVE-2024-20799
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
 CVE-2024-20800
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26101
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-41877
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus
 Tärkeä
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-41878
Sivustojen välinen skriptaus (tallennettu XSS) (CWE-79)
 Mielivaltaisen koodin suoritus Kohtalainen 3.4 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:N/A:N CVE-2024-26051
Huomautus:

Jos asiakas käyttää Apache httpd:tä välityspalvelimella muulla kuin oletuskokoonpanolla, hän voi joutua alttiiksi haavoittuvuudelle CVE-2023-25690 – lisätietoja on täällä: https://httpd.apache.org/security/vulnerabilities_24.html

Kiitokset

Adobe haluaa kiittää seuraavia henkilöitä näistä ongelmista ilmoittamisesta ja yhteistyöstä Adoben kanssa sen asiakkaiden suojaamisessa:  

  • Lorenzo Pirondini – CVE-2024-26028, CVE-2024-26032, CVE-2024-26033, CVE-2024-26034, CVE-2024-26035, CVE-2024-26038, CVE-2024-26040, CVE-2024-26041, CVE-2024-26042, CVE-2024-26043, CVE-2024-26044, CVE-2024-26045, CVE-2024-26052, CVE-2024-26059, CVE-2024-26064, CVE-2024-26065, CVE-2024-26073, CVE-2024-26080, CVE-2024-26124, CVE-2024-26125, CVE-2024-20768, CVE-2024-20800
  • Jim Green (green-jam) – CVE-2024-26030, CVE-2024-26031, CVE-2024-26056, CVE-2024-26061, CVE-2024-26062, CVE-2024-26067, CVE-2024-26069, CVE-2024-26094, CVE-2024-26096, CVE-2024-26101, CVE-2024-26102, CVE-2024-26103, CVE-2024-26104, CVE-2024-26105, CVE-2024-26106, CVE-2024-26107, CVE-2024-26118, CVE-2024-26119, CVE-2024-26120, CVE-2024-20760, CVE-2024-20799, CVE-2024-41877, CVE-2024-41878
  • Akshay Sharma (anonymous_blackzero) – CVE-2024-26050, CVE-2024-26051

HUOMAUTUS: Adobella on HackerOnessa yksityinen, vain kutsutuille tarkoitettu buginmetsästysohjelma. Jos olet kiinnostunut työskentelemään Adoben kanssa ulkopuolisena tietoturvatutkijana, täytä tämä lomake, niin saat ohjeet.

Versiot

21. elokuuta 2024 – Lisätty CVE-2024-41877 ja CVE-2024-41878

20. kesäkuuta 2024 – Lisätty CVE-2024-26101

12. kesäkuuta 2024 – Poistettu CVE-2024-26126 ja CVE-2024-26127

3. huhtikuuta 2024 – Lisätty CVE-2024-20800

1. huhtikuuta 2024 – Lisätty CVE-2024-20799

18. maaliskuuta 2024 – Poistettu CVE-2024-26048

Saat lisätietoja siirtymällä osoitteeseen https://helpx.adobe.com/fi/security.html tai lähettämällä sähköpostia osoitteeseen PSIRT@adobe.com.

Pyydä apua nopeammin ja helpommin

Oletko uusi käyttäjä?

Pikalinkit

Näytä kaikki sopimuksesi Sopimusten hallinta
Näytä pikalinkit
Piilota pikalinkit