Bulletin-ID
Senast uppdaterad den
23 dec. 2024
Säkerhetsuppdatering tillgänglig för Adobe Connect | APSB24-99
|
|
Publiceringsdatum |
Prioritet |
|---|---|---|
|
APSB24-99 |
10 december 2024 |
3 |
Sammanfattning
Adobe har släppt en säkerhetsuppdatering för Adobe Connect. Den här uppdateringen åtgärdar kritiska, viktiga och måttliga sårbarheter. En lyckad exploatering kan leda till godtycklig kodkörning, eskalering av behörigheter och kringgående av säkerhetsfunktioner.
Adobe har inga rapporter om att något problem som åtgärdas i dessa uppdateringar ska ha utnyttjats.
Berörda produktversioner
|
Produkt |
Version |
Plattform |
|---|---|---|
|
Adobe Connect |
12.6 och tidigare versioner |
Alla |
|
Adobe Connect |
11.4.7 och tidigare versioner |
Alla |
Lösning
Adobe klassar dessa uppdateringar med följande prioritetsklassificeringar och rekommenderar användare att uppdatera till den senaste versionen.
|
Produkt |
Version |
Plattform |
Prioritet |
Tillgänglighet |
|---|---|---|---|---|
|
Adobe Connect |
12.7 |
Alla |
3 |
|
|
Adobe Connect |
11.4.9 |
Alla |
3 |
Sårbarhetsinformation
|
Sårbarhetskategori |
Sårbarhetens inverkan |
Allvarlighet |
CVSS-baspoäng |
CVE-nummer |
|
|---|---|---|---|---|---|
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Kritisk |
9,3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-54032 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Kritisk |
8.0 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-54034 |
|
Felaktig auktorisering (CWE-285) |
Eskalering av behörighet |
Kritisk |
7.3 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-54035 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Kritisk |
9,3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N |
CVE-2024-54036 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Kritisk |
7.3 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:N |
CVE-2024-54037 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-54039 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktigt |
6.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-49550 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-54040 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-54041 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktigt |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-54042 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-54043 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
CVE-2024-54044 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
CVE-2024-54045 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
CVE-2024-54046 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
CVE-2024-54047 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
CVE-2024-54048 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktigt |
6.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2024-54049 |
|
URL-omdirigering till webbplats som inte är betrodd (”Öppna omdirigering”) (CWE-601) |
Åsidosättning av säkerhetsfunktion |
Måttlig |
3.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-54050 |
|
URL-omdirigering till webbplats som inte är betrodd (”Öppna omdirigering”) (CWE-601) |
Åsidosättning av säkerhetsfunktion |
Måttlig |
3.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2024-54051 |
|
Felaktig åtkomstkontroll (CWE-284) |
Åsidosättning av säkerhetsfunktion |
Måttlig |
4.3 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
CVE-2024-54038 |
Tack:
Tack
Adobe tackar följande forskare för att de har rapporterat det här problemet och för att de samarbetar med Adobe i säkerhetsfrågor för att hjälpa till att skydda våra kunder:
- lpi – CVE-2024-54040, CVE-2024-54041, CVE-2024-54042, CVE-2024-54043, CVE-2024-54044, CVE-2024-54045, CVE-2024-54046, CVE-2024-54047, CVE-2024-54048
- Laish (a_l) – CVE-2024-54035, CVE-2024-54036, CVE-2024-54037, CVE-2024-54051
- Naaash – CVE-2024-54032, CVE-2024-54038
- fekirineakira (djallalakira) – CVE-2024-49550
- Surajjj (ninetynine) – CVE-2024-54034
- Charlie (moopinger) – CVE-2024-54039
- Jorge Cerezo (zere) – CVE-2024-54049
- Daniel Ferreira (ferreiraklet_) och Leonardo Campos (foorw1nner) – CVE-2024-54050
Obs! Adobe har ett offentligt program ihop med HackerOne för att hitta fel. Om du är intresserad av att arbeta med Adobe som extern säkerhetsforskare kan du läsa mer på https://hackerone.com/adobe
Revisioner
10 december 2024 – CVE-2024-54033 och CVE-2024-54052 borttagna.
10 december 2024 – CVE-2024-54050 krediteras som "Daniel Ferreira (ferreiraklet_) och Leonardo Campos (foorw1nner)"
Mer information finns på https://helpx.adobe.com/se/security.html eller på PSIRT@adobe.com.
