ID bollettino
Ultimo aggiornamento il
30 ago 2024
Aggiornamenti di sicurezza disponibili per Adobe Experience Manager | APSB24-05
|
|
Data di pubblicazione |
Priorità |
|---|---|---|
|
APSB24-05 |
12 marzo 2024 |
3 |
Riepilogo
Adobe ha rilasciato aggiornamenti per Adobe Experience Manager (AEM). Questi aggiornamenti risolvono vulnerabilità classificate come importanti e moderate. Lo sfruttamento efficace di queste vulnerabilità potrebbe causare l'esecuzione di codice arbitrario e l'aggiornamento delle funzioni di sicurezza.
Versioni del prodotto interessate
| Prodotto | Versione | Piattaforma |
|---|---|---|
| Adobe Experience Manager (AEM) |
Cloud Service AEM (CS) |
Tutte |
| 6.5.19.0 e versioni precedenti |
Tutte |
Soluzione
Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente:
Prodotto |
Versione |
Piattaforma |
Priorità |
Disponibilità |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service versione 2024.03 |
Tutte | 3 | Note sul rilascio |
| 6.5.20.0 | Tutte |
3 |
Note sulla versione AEM 6.5 Service Pack |
Nota:
I clienti in esecuzione sul Cloud Service di Adobe Experience Manager riceveranno automaticamente aggiornamenti che includono nuove funzioni, nonché correzioni di bug di sicurezza e funzionalità.
Nota:
Considerazioni sulla sicurezza di Experience Manager:
Considerazioni sulla sicurezza di AEM as a Cloud Service
Pacchetto di protezione delle autorizzazioni anonime
Nota:
Per ricevere assistenza sulle versioni di AEM 6.4, 6.3 e 6.2, gli utenti possono contattare l'Assistenza clienti Adobe.
Dettagli della vulnerabilità
| Categoria della vulnerabilità |
Impatto della vulnerabilità |
Gravità |
Punteggio base CVSS |
Vettore CVSS |
Codice CVE |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26028 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26030 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26031 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26032 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26033 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26034 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26035 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26038 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26040 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26041 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26042 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26043 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26044 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26045 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 4,5 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N | CVE-2024-26050 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26052 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26056 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26059 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26061 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26062 |
| Esposizione delle informazioni (CWE-200) | Aggiramento della funzione di sicurezza | Importante | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N | CVE-2024-26063 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26064 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26065 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26067 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26069 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26073 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26080 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26094 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26096 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26102 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26103 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26104 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26105 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26106 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26107 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26118 |
| Controllo di accesso non corretto (CWE-284) | Aggiramento della funzione di sicurezza | Importante | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N | CVE-2024-26119 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26120 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26124 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26125 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20760 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20768 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante |
5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-20799 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante |
5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-20800 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante |
5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26101 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante |
5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-41877 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario |
Importante |
5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-41878 |
| Vulnerabilità cross-site scripting (XSS archiviato) (CWE-79) |
Esecuzione di codice arbitrario | Moderata | 3.4 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:N/A:N | CVE-2024-26051 |
Nota:
Se un cliente utilizza Apache httpd in un proxy con una configurazione non predefinita, potrebbe essere interessato da CVE-2023-25690 - Per maggiori informazioni, visitare il sito: https://httpd.apache.org/security/vulnerabilities_24.html
Ringraziamenti
Adobe desidera ringraziare i ricercatori seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:
- Lorenzo Pirondini -- CVE-2024-26028, CVE-2024-26032, CVE-2024-26033, CVE-2024-26034, CVE-2024-26035, CVE-2024-26038, CVE-2024-26040, CVE-2024-26041, CVE-2024-26042, CVE-2024-26043, CVE-2024-26044, CVE-2024-26045, CVE-2024-26052, CVE-2024-26059, CVE-2024-26064, CVE-2024-26065, CVE-2024-26073, CVE-2024-26080, CVE-2024-26124, CVE-2024-26125, CVE-2024-20768, CVE-2024-20800
- Jim Green (green-jam) -- CVE-2024-26030, CVE-2024-26031, CVE-2024-26056, CVE-2024-26061, CVE-2024-26062, CVE-2024-26067, CVE-2024-26069, CVE-2024-26094, CVE-2024-26096, CVE-2024-26101, CVE-2024-26102, CVE-2024-26103, CVE-2024-26104, CVE-2024-26105, CVE-2024-26106, CVE-2024-26107, CVE-2024-26118, CVE-2024-26119, CVE-2024-26120, CVE-2024-20760, CVE-2024-20799, CVE-2024-41877, CVE-2024-41878
- Akshay Sharma (anonymous_blackzero) -- CVE-2024-26050, CVE-2024-26051
NOTA: Adobe dispone di un programma di bug bounty privato, solo su invito, con HackerOne. Se sei interessato a lavorare con Adobe come ricercatore di sicurezza esterno, compila questo modulo per le fasi successive.
Revisioni
21 agosto 2024 - Aggiunti CVE-2024-41877 e CVE-2024-41878
20 giugno 2024 - Aggiunto CVE-2024-26101
12 giugno 2024 - Rimossi CVE-2024-26126 e CVE-2024-26127
3 aprile 2024 - Aggiunto CVE-2024-20800
1 aprile 2024 - Aggiunto CVE-2024-20799
18 marzo 2024 - CVE-2024-26048 rimosso
Per ulteriori informazioni, visitare il sito https://helpx.adobe.com/it/security.html o inviare un'e-mail a PSIRT@adobe.com.
