ID biuletynu
Ostatnia aktualizacja
25 wrz 2023
Dostępne aktualizacje zabezpieczeń dla programu Adobe Experience Manager | APSB23-31
|
|
Data publikacji |
Priorytet |
|---|---|---|
|
APSB23-31 |
13 czerwca 2023 r. |
3 |
Podsumowanie
Firma Adobe opublikowała aktualizacje dla programu Adobe Experience Manager (AEM). Te aktualizacje usuwają luki w zabezpieczeniach programu Adobe Experience Manager oznaczone jako istotne i umiarkowanie ważne, w tym zależności innych firm. Udane wykorzystanie tych luk może doprowadzić do wykonania dowolnego kodu, odmowy usługi i obejścia zabezpieczeń.
Wersje produktu, których dotyczy problem
| Produkt | Wersja | Platforma |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Wszystkie |
| 6.5.16.0 i starsze wersje |
Wszystkie |
Rozwiązanie
Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny ważności, oraz zaleca użytkownikom zaktualizowanie zainstalowanego oprogramowania do najnowszej wersji:
Produkt |
Wersja |
Platforma |
Priorytet |
Dostępność |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service, wydanie 2023.4 |
Wszystkie | 3 | Uwagi na temat wersji |
| 6.5.17.0 | Wszystkie |
3 |
AEM 6.5 Service Pack — informacje o wersji |
Uwaga:
Klienci korzystający z usługi Adobe Experience Manager Cloud Service będą automatycznie otrzymywać aktualizacje zawierające nowe funkcje oraz poprawki błędów zabezpieczeń i funkcji.
Uwaga:
Względy bezpieczeństwa użytkowników programu Experience Manager:
Względy bezpieczeństwa dotyczące usługi AEM as a Cloud Service
Anonimowy pakiet wzmacniania zezwoleń
Uwaga:
Pomoc dotyczącą wersji 6.4, 6.3 i 6.2 programu AEM można uzyskać w dziale Obsługi klienta firmy Adobe.
Informacje o luce w zabezpieczeniach
|
Kategoria luki w zabezpieczeniach |
Wpływ luki w zabezpieczeniach |
Istotność |
Podstawowy wynik CVSS |
Numer CVE |
|
|---|---|---|---|---|---|
|
Tworzenie skryptów międzywitrynowych (Reflected XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29304 |
|
Przekierowanie URL do niezaufanej witryny („Open Redirect”) (CWE-601) |
Obejście funkcji bezpieczeństwa |
Umiarkowanie ważna |
3.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N |
CVE-2023-29307 |
|
Tworzenie skryptów międzywitrynowych (Reflected XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29322 |
|
Tworzenie skryptów międzywitrynowych (Reflected XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29302 |
Aktualizacje zależności
| CVE | Zależność |
Wpływ luki w zabezpieczeniach |
Zagrożone wersje |
| CVE-2023-26513 |
Apache Sling |
Odmowa usługi |
AEM CS AEM 6.5.16.0 i wcześniejsze wersje |
| CVE-2022-26336 |
Apache POI |
Odmowa usługi |
AEM CS AEM 6.5.16.0 i wcześniejsze wersje |
Uwaga:
Jeśli klient korzysta z programu Apache httpd na serwerze proxy z konfiguracją inną niż domyślna, może go obejmować błąd CVE-2023-25690 — więcej informacji można znaleźć tutaj: https://httpd.apache.org/security/vulnerabilities_24.html
Podziękowania
Firma Adobe składa podziękowania niżej wymienionym za zgłoszenie tych luk w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:
- Jim Green (green-jam) -- CVE-2023-29304, CVE-2023-29302
- Osama Yousef (osamayousef) -- CVE-2023-29307
- Lorenzo Pirondini -- CVE-2023-29322
UWAGA: Firma Adobe prowadzi z firmą HackerOne prywatny, dostępny tylko za zaproszeniem program nagród za wykryte błędy. Jeśli interesuje Cię współpraca z firmą Adobe w roli zewnętrznego analityka bezpieczeństwa, wypełnij ten formularz, by uzyskać dalsze informacje.
Wersje
19 września 2023 r. — aktualizacja zależności
11 lipca 2023 r. — zmieniono aktualizacje zależności.
15 czerwca 2023 r. — nazwę analityka „lip” zmieniono na „Lorenzo Pirondini”.
Aby uzyskać więcej informacji, odwiedź https://helpx.adobe.com/pl/security.html lub wyślij wiadomość e-mail na adres PSIRT@adobe.com.
