ID buletin
Ultima actualizare la
25 sept. 2023
Actualizări de securitate disponibile pentru Adobe Experience Manager | APSB23-31
|
|
Data publicării |
Prioritatea |
|---|---|---|
|
APSB23-31 |
13 iunie 2023 |
3 |
Sumar
Adobe a lansat actualizări pentru Adobe Experience Manager (AEM). Aceste actualizări rezolvă vulnerabilitățile clasificate drept importante și moderate din Adobe Experience Manager, incluzând dependențele de la terți. Exploatarea reușită a acestor vulnerabilități ar putea duce la executarea arbitrară a codului, la refuzarea serviciului și la ocolirea caracteristicilor de securitate.
Versiunile de produs afectate
| Produs | Versiunea | Platformă |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Toate |
| 6.5.16.0 și versiunile anterioare |
Toate |
Soluție
Adobe acordă acestor actualizări următoarele evaluări ale priorității și recomandă utilizatorilor să își actualizeze produsele instalate la cea mai nouă versiune:
Produs |
Versiunea |
Platformă |
Prioritatea |
Disponibilitate |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service versiunea 2023.4 |
Toate | 3 | Note de lansare |
| 6.5.17.0 | Toate |
3 |
Note privind lansarea pachetului AEM 6.5 Service Pack |
Notă:
Clienții care rulează în Cloud Service din Adobe Experience Manager vor primi automat actualizările care includ caracteristici noi, precum și remedieri ale erorilor de funcționalitate și de securitate.
Notă:
Considerații de securitate Experience Manager:
Considerații de securitate AEM as a Cloud Service
Pachet de întărire a permisiunilor anonime
Notă:
Contactați serviciul de asistență pentru clienți Adobe pentru ajutor privind versiunile AEM 6.4, 6.3 și 6.2.
Detalii privind vulnerabilitatea
|
Categoria de vulnerabilitate |
Impactul vulnerabilității |
Severitate |
Scor de bază CVSS |
Număr CVE |
|
|---|---|---|---|---|---|
|
Scriptare între site-uri (XSS reflectat) (CWE-79) |
Executare de cod arbitrar |
Importantă |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29304 |
|
Redirecționare URL către site nesigur („Redirecționare deschisă”) (CWE-601) |
Ocolirea caracteristicii de securitate |
Moderată |
3.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N |
CVE-2023-29307 |
|
Scriptare între site-uri (XSS reflectat) (CWE-79) |
Executare de cod arbitrar |
Importantă |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29322 |
|
Scriptare între site-uri (XSS reflectat) (CWE-79) |
Executare de cod arbitrar |
Importantă |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29302 |
Actualizări ale dependențelor
| CVE | Dependență |
Impactul vulnerabilității |
Versiuni afectate |
| CVE-2023-26513 |
Apache Sling |
Refuzarea serviciului |
AEM CS AEM 6.5.16.0 și versiunile anterioare |
| CVE-2022-26336 |
Apache POI |
Refuzarea serviciului |
AEM CS AEM 6.5.16.0 și versiunile anterioare |
Notă:
Dacă un client utilizează Apache httpd într-un proxy cu o configurație diferită de cea implicită, acesta poate fi afectat de CVE-2023-25690 – citiți mai multe aici: https://httpd.apache.org/security/vulnerabilities_24.html
Mențiuni
Adobe dorește să le mulțumească următorilor pentru raportarea acestor probleme și pentru colaborarea cu Adobe în scopul protejării clienților noștri:
- Jim Green (green-jam) -- CVE-2023-29304, CVE-2023-29302
- Osama Yousef (osamayousef) -- CVE-2023-29307
- Lorenzo Pirondini -- CVE-2023-29322
NOTĂ: Adobe are un program privat de recompensă pentru erori, cu invitație exclusivă, cu HackerOne. Dacă sunteți interesat să lucrați cu Adobe în calitate de cercetător extern în domeniul securității, completați acest formular pentru pașii următori.
Revizii
19 septembrie 2023 – Actualizările dependențelor.
11 iulie 2023 – Actualizări ale dependențelor revizuite.
15 iunie 2023 – Cercetătorul „lpi” a fost înlocuit cu „Lorenzo Pirondini”.
Pentru mai multe informații, vizitați https://helpx.adobe.com/ro/security.html sau trimiteți e-mail la PSIRT@adobe.com.
