Adobe-säkerhetsbulletin

Säkerhetsuppdateringar för Adobe Experience Manager | APSB19-48

Bulletin-ID

Publiceringsdatum

Prioritet

APSB19-48

den 15 oktober 2019

2

Sammanfattning

Adobe har släppt säkerhetsuppdateringar för Adobe Experience Manager (AEM). Uppdateringarna åtgärdar flera säkerhetsluckor i AEM-versionerna 6.3, 6.4 och 6.5. Exploatering kan leda till obehörig åtkomst till AEM-miljön.

Berörda produktversioner

Produkt

Version

Plattform

Adobe Experience Manager

6.5

6.4

6.3

6.2

6.1

6.0

Alla

Lösning

Adobe klassar dessa uppdateringar med följande prioritetsklassificeringar och rekommenderar användare att uppdatera till den senaste versionen:

Produkt

Version

Plattform

Prioritet

Tillgänglighet

 

Adobe Experience Manager

6.5

Alla

2

Versioner och uppdateringar

6.4

Alla

2

Versioner och uppdateringar

6.3

Alla

2

Versioner och uppdateringar

Kontakta Adobes kundtjänst för hjälp med tidigare AEM-versioner.

Sårbarhetsinformation

Sårbarhetskategori

Sårbarhetens inverkan

Allvarlighet

CVE-nummer 

Berörda versioner Hämtningspaket
Serveröverskridande förfalskade begäranden Exponering av känslig information Viktig

CVE-2019-8234

 

AEM 6.2

AEM 6.3

AEM 6.4

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Reflekterande serveröverskridande skript

Exponering av känslig information

 

Måttlig CVE-2019-8078

AEM 6.2

AEM 6.3

AEM 6.4

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Lagrat serveröverskridande skript Exponering av känslig information Viktig CVE-2019-8079

AEM 6.0

AEM 6.1

AEM 6.2

AEM 6.3 

AEM 6.4

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.4.0

Lagrat serveröverskridande skript Eskalering av behörighet Viktig 

CVE-2019-8080

 

AEM 6.3

AEM 6.4

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Kringgående av autentisering

 

 

Exponering av känslig information Viktig CVE-2019-8081

AEM 6.2

AEM 6.3

AEM 6.4

AEM 6.5 

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Service Pack för 6.5 - AEM-6.5.2.0 

XML-injektion av extern enhet

Exponering av känslig information

 

Viktig CVE-2019-8082

AEM 6.2

AEM 6.3 

AEM 6.4

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Serveröverskridande skript

Exponering av känslig information

 

Måttlig

 

CVE-2019-8083

 

AEM 6.3

AEM 6.4

AEM 6.5

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Service Pack för 6.5 - AEM-6.5.2.0 

Reflekterande serveröverskridande skript

Exponering av känslig information

 

 

Måttlig

 

 

 

 

CVE-2019-8084

 

 

AEM 6.2

AEM 6.3

AEM 6.4

AEM 6.5

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.5.0

Service Pack för 6.5 - AEM-6.5.2.0 

Reflekterande serveröverskridande skript

 

 

Exponering av känslig information

 

 

Måttlig

 

 

 

 

CVE-2019-8085

 

 

AEM 6.2

AEM 6.3

AEM 6.4

AEM 6.5

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.5.0

Service Pack för 6.5 - AEM-6.5.2.0 

XML-injektion av extern enhet

 

 

Exponering av känslig information

 

 

Viktig

 

 

CVE-2019-8086

 

 

AEM 6.2

AEM 6.3 

AEM 6.4

AEM 6.5

 

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Service Pack för 6.5 - AEM-6.5.2.0 

XML-injektion av extern enhet

 

 

Exponering av känslig information

 

Viktig

 

 

CVE-2019-8087

 

 

AEM 6.2

AEM 6.3 

AEM 6.4

AEM 6.5

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Service Pack för 6.5 - AEM-6.5.2.0 

JavaScript-kodinjektion

 

 

Exekvering av godtycklig kod

 

 

Kritisk

 

 

CVE-2019-8088*

 

 

AEM 6.2

AEM 6.3

AEM 6.4

AEM 6.5

 

Kumulativt korrigeringspaket för 6.3 SP3 – AEM-6.3.3.6

Service Pack för 6.4 - AEM-6.4.6.0

Service Pack för 6.5 - AEM-6.5.2.0 

Obs!

JavaScript-kodkörning (CVE-2019-8088) påverkar endast version 6.2.  Från och med 6.3 används den strikt sandlådebaserade Rhino-motorn för att exekvera JavaScript, vilket minskar effekten av CVE-2019-8088 för blinda SSRF-attacker (förfalskad begäran på serversidan) och DoS-attacker (Denial-of-Service). 

Obs!

Obs: Paketen som anges i tabellen ovan är de minimala korrigeringspaketen som åtgärdar den listade sårbarheten.  För de senaste versionerna se versionsinformationslänkarna ovan.

Tack

Adobe tackar följande personer för att de har rapporterat problemen och för att de samarbetar med oss i säkerhetsfrågor:     

  • Mikhail Egorov @0ang3el (CVE-2019-8086, CVE-2019-8087, CVE-2019-8088)

Revisioner

15 oktober 2019: Uppdaterat CVE-ID från CVE -2019-8077 till CVE -2019-8234.

11 mars 2020: Ett meddelande lades till för att förtydliga att JavaScript-kodkörning (CVE-2019-8088) bara påverkar AEM 6.2.  

 Adobe

Få hjälp snabbare och enklare

Ny användare?

Adobe MAX 2024

Adobe MAX
Kreativitetskonferensen

14–16 okt i Miami Beach och online

Adobe MAX

Kreativitetskonferensen

14–16 okt i Miami Beach och online

Adobe MAX 2024

Adobe MAX
Kreativitetskonferensen

14–16 okt i Miami Beach och online

Adobe MAX

Kreativitetskonferensen

14–16 okt i Miami Beach och online