ID do boletim
Última atualização em
25/09/2023
Atualizações de segurança disponíveis para o Adobe Experience Manager | APSB23-31
|
|
Data de publicação |
Prioridade |
|---|---|---|
|
APSB23-31 |
13 de junho de 2023 |
3 |
Resumo
Adobe lançou atualizações para o Adobe Experience Manager (AEM). Estas atualizações resolvem vulnerabilidades classificadas como importantes e moderadas no Adobe Experience Manager, incluindo dependências de terceiros. A exploração bem-sucedida dessas vulnerabilidades pode resultar na execução arbitrária de código, negação de serviço e em falha de recursos de segurança.
Versões do produto afetado
| Produto | Versão | Plataforma |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Todos |
| 6.5.16.0 e versões anteriores |
Todos |
Solução
A Adobe categoriza essas atualizações com as seguintes classificações de prioridade e recomenda que os usuários atualizem suas instalações para as versões mais recentes:
Produto |
Versão |
Plataforma |
Prioridade |
Disponibilidade |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service versão 2023.4 |
Todos | 3 | Notas de versão |
| 6.5.17.0 | Todos |
3 |
Notas de versão do AEM 6.5 Service Pack |
Observação:
Os clientes que executam o Cloud Service da Adobe Experience Manager receberão automaticamente atualizações que incluem novos recursos, bem como correções de erros de segurança e funcionalidade.
Observação:
Considerações sobre Segurança do Experience Manager:
Considerações de Segurança do AEM as a Cloud Service
Pacote de Proteção de Permissão Anônima
Observação:
Entre em contato com o Atendimento ao cliente da Adobe para obter assistência com as versões 6.4, 6.3 e 6.2 do AEM.
Detalhes da vulnerabilidade
|
Categoria da vulnerabilidade |
Impacto da vulnerabilidade |
Severidade |
Pontuação base de CVSS |
Número CVE |
|
|---|---|---|---|---|---|
|
Criação de script entre sites (XSS Refletido) (CWE-79) |
Execução de código arbitrário |
Importante |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29304 |
|
Redirecionamento de URL para site não confiável ('Open Redirect') (CWE-601) |
Falha de recurso de segurança |
Moderado |
3,5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N |
CVE-2023-29307 |
|
Criação de script entre sites (XSS Refletido) (CWE-79) |
Execução de código arbitrário |
Importante |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29322 |
|
Criação de script entre sites (XSS Refletido) (CWE-79) |
Execução de código arbitrário |
Importante |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29302 |
Atualizações das dependências
| CVE | Dependência |
Impacto da vulnerabilidade |
Versões afetadas |
| CVE-2023-26513 |
Apache Sling |
Recusa de serviço |
AEM CS AEM 6.5.16.0 e anteriores |
| CVE-2022-26336 |
Apache POI |
Recusa de serviço |
AEM CS AEM 6.5.16.0 e anteriores |
Observação:
Se um cliente estiver usando o Apache httpd em um proxy com uma configuração sem padrão, ele pode ser impactado pelo CVE-2023-25690 — leia mais aqui: https://httpd.apache.org/security/vulnerabilities_24.html
Agradecimentos
A Adobe gostaria de agradecer aos seguintes profissionais por terem relatado esses problemas e trabalhado com a Adobe para ajudar a proteger nossos clientes:
- Jim Green (green-jam) -- CVE-2023-29304, CVE-2023-29302
- Osama Yousef (osamayousef) -- CVE-2023-29307
- Lorenzo Pirondini -- CVE-2023-29322
OBSERVAÇÃO: o Adobe tem um programa de recompensa de bugs privado, apenas para convidados, o HackerOne. Se estiver interessado em trabalhar com a Adobe como pesquisador de segurança externa, preencha este formulário para saber as próximas etapas.
Revisões
19 de setembro de 2023 - Atualizações de dependências
11 de julho de 2023 - Atualizações de dependências revisadas.
15 de junho de 2023 - Pesquisador "lpi" revisado para "Lorenzo Pirondini".
Para mais informações, acesse https://helpx.adobe.com/br/security.html ou envie um email para PSIRT@adobe.com.
