Идентификатор бюллетеня
Последнее обновление
25 сент. 2023 г.
Обновления безопасности для Adobe Experience Manager | APSB23-31
|
|
Дата публикации |
Приоритет |
|---|---|---|
|
APSB23-31 |
13 июня 2023 г. |
3 |
Сводка
Компания Adobe выпустила обновления для Adobe Experience Manager (AEM). Эти обновления устраняют уязвимости с рейтингом важные и умеренные в Adobe Experience Manager, включая сторонние зависимости. Эксплуатация этих уязвимостей может привести к выполнению произвольного кода, отказу в обслуживании и обходу функций безопасности.
Затрагиваемые версии продуктов
| Продукт | Версия | Платформа |
|---|---|---|
| Adobe Experience Manager (АЕМ) |
AEM Cloud Service (CS) |
Все |
| 6.5.16.0 и более ранние версии |
Все |
Решение
Компания Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий:
Продукт |
Версия |
Платформа |
Приоритет |
Доступность |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service, выпуск 2023.4 |
Все | 3 | Сведения о выпуске |
| 6.5.17.0 | Все |
3 |
Заметки о выпуске пакета обновления для AEM 6.5 |
Примечание.
Пользователи Cloud Service Adobe Experience Manager автоматически получат обновления, включающие новые функции, а также обновления системы безопасности и исправления ошибок в функциональности.
Примечание.
Меры предосторожности Experience Manager
Меры предосторожности в отношении AEM as a Cloud Service
Пакет усиления защиты анонимных разрешений
Примечание.
Для получения помощи с AEM версий 6.4, 6.3 и 6.2 обратитесь в отдел обслуживания клиентов компании Adobe.
Сведения об уязвимости
|
Категория уязвимости |
Влияние уязвимости |
Серьезность |
Базовая оценка CVSS |
Номер CVE |
|
|---|---|---|---|---|---|
|
Межсайтовый скриптинг (отраженный) (CWE-79) |
Выполнение произвольного кода |
Важная |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29304 |
|
Перенаправление URL на ненадежный сайт («Открытое перенаправление») (CWE-601) |
Обход функции безопасности |
Средняя |
3.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N |
CVE-2023-29307 |
|
Межсайтовый скриптинг (отраженный) (CWE-79) |
Выполнение произвольного кода |
Важная |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29322 |
|
Межсайтовый скриптинг (отраженный) (CWE-79) |
Выполнение произвольного кода |
Важная |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-29302 |
Обновления для зависимостей
| CVE | Зависимость |
Влияние уязвимости |
Затронутые версии |
| CVE-2023-26513 |
Apache Sling |
Отказ в обслуживании |
AEM CS AEM 6.5.16.0 и более ранние версии |
| CVE-2022-26336 |
Apache POI |
Отказ в обслуживании |
AEM CS AEM 6.5.16.0 и более ранние версии |
Примечание.
Если клиент использует Apache httpd в прокси-сервере с нестандартной конфигурацией, он может быть подвержен уязвимости CVE-2023-25690, подробнее см. здесь: https://httpd.apache.org/security/vulnerabilities_24.html
Благодарности
Компания Adobe выражает благодарность следующим лицам за сообщение об этих проблемах и за помощь Adobe в защите наших клиентов:
- Джим Грин (green-jam) — CVE-2023-29304, CVE-2023-29302
- Осама Юсеф (osamayousef) — CVE-2023-29307
- Лоренцо Пирондини — CVE-2023-29322
ПРИМЕЧАНИЕ. Adobe имеет частную, доступную только для приглашенных программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, заполните эту форму.
Редакции
19 сентября 2023 г. — Обновления для зависимостей.
11 июля 2023 г. — Изменены обновления для зависимостей.
15 июня 2023 г. — Исследователь «lpi» изменен на «Лоренцо Пирондини».
Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com.