ID biuletynu
Ostatnia aktualizacja
18 kwi 2024
Dostępne aktualizacje zabezpieczeń programu Adobe Experience Manager | APSB24-21
|
|
Data publikacji |
Priorytet |
|---|---|---|
|
APSB24-21 |
9 kwietnia 2024 r. |
3 |
Podsumowanie
Firma Adobe opublikowała aktualizacje dla programu Adobe Experience Manager (AEM). Te aktualizacje usuwają luki ocenione jako istotne. Udane wykorzystanie tych luk może doprowadzić do wykonania dowolnego kodu i obejścia zabezpieczeń.
Wersje produktu, których dotyczy problem
| Produkt | Wersja | Platforma |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Wszystkie |
| 6.5.19 i starsze wersje |
Wszystkie |
Rozwiązanie
Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny ważności, oraz zaleca użytkownikom zaktualizowanie zainstalowanego oprogramowania do najnowszej wersji:
Produkt |
Wersja |
Platforma |
Priorytet |
Dostępność |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service, wydanie 2024.03 |
Wszystkie | 3 | Uwagi na temat wersji |
| 6.5.20 | Wszystkie |
3 |
AEM 6.5 Service Pack — informacje o wersji |
Uwaga:
Klienci korzystający z usługi Adobe Experience Manager Cloud Service będą automatycznie otrzymywać aktualizacje zawierające nowe funkcje oraz poprawki błędów zabezpieczeń i funkcji.
Uwaga:
Względy bezpieczeństwa użytkowników programu Experience Manager:
Względy bezpieczeństwa dotyczące usługi AEM as a Cloud Service
Anonimowy pakiet wzmacniania zezwoleń
Uwaga:
Pomoc dotyczącą wersji 6.4, 6.3 i 6.2 programu AEM można uzyskać w dziale Obsługi klienta firmy Adobe.
Informacje o luce w zabezpieczeniach
| Kategoria luki w zabezpieczeniach |
Wpływ luki w zabezpieczeniach |
Istotność |
Podstawowy wynik CVSS |
Wektor CVSS |
Numer CVE |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26046 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26047 |
| Ujawnienie informacji (CWE-200) | Obejście funkcji bezpieczeństwa | Istotna | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N | CVE-2024-26076 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26079 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26084 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26087 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26097 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26098 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26122 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20778 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20779 |
| Tworzenie skryptów między witrynami (zapisane XSS) (CWE-79) |
Wykonanie dowolnego kodu |
Istotna | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20780 |
Uwaga:
Jeśli klient korzysta z programu Apache httpd na serwerze proxy z konfiguracją inną niż domyślna, może go obejmować błąd CVE-2023-25690 — więcej informacji można znaleźć tutaj: https://httpd.apache.org/security/vulnerabilities_24.html
Podziękowania
Firma Adobe składa podziękowania niżej wymienionym za zgłoszenie tych luk w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:
- Lorenzo Pirondini -- CVE-2024-26047, CVE-2024-26076, CVE-2024-26079, CVE-2024-26084,
- Jim Green (green-jam) -- CVE-2024-26087, CVE-2024-26097, CVE-2024-26098, CVE-2024-26122, CVE-2024-20778 CVE-2024-20779 CVE-2024-20780
- Akshay Sharma (anonymous_blackzero) -- CVE-2024-26046
UWAGA: Firma Adobe prowadzi z firmą HackerOne prywatny, dostępny tylko za zaproszeniem program nagród za wykryte błędy. Jeśli interesuje Cię współpraca z firmą Adobe w roli zewnętrznego analityka bezpieczeństwa, wypełnij ten formularz, by uzyskać dalsze informacje.
Aby uzyskać więcej informacji, odwiedź https://helpx.adobe.com/pl/security.html lub wyślij wiadomość e-mail na adres PSIRT@adobe.com.
