Бюллетень безопасности Adobe

Поиск

Обновления системы безопасности для Adobe Experience Manager | APSB24-05

Идентификатор бюллетеня

Дата публикации

Приоритет

APSB24-05

12 марта 2024 г.

3

Сводка

Компания Adobe выпустила обновления для Adobe Experience Manager (AEM). В этих обновлениях устранены уязвимости, которые классифицируются как важные и средние.  Эксплуатация этих уязвимостей может привести к выполнению произвольного кода и обходу функций безопасности.

Затрагиваемые версии продуктов

Продукт Версия Платформа
Adobe Experience Manager (АЕМ)
 AEM Cloud Service (CS)
 Все
6.5.19.0 и более ранние версии 
 Все

Решение

Компания Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий:

Продукт

Версия

Платформа

Приоритет

Доступность
Adobe Experience Manager (AEM) 
 AEM Cloud Service, выпуск 2024.03
 Все 3 Сведения о выпуске
6.5.20.0 Все

3

 Заметки о выпуске пакета обновления для AEM 6.5 
Примечание.

Пользователи Cloud Service Adobe Experience Manager автоматически получат обновления, включающие новые функции, а также обновления системы безопасности и исправления ошибок в функциональности.  

Примечание.

Меры предосторожности Experience Manager

Меры предосторожности в отношении AEM as a Cloud Service
Пакет усиления защиты анонимных разрешений

Примечание.

Для получения помощи с AEM версий 6.4, 6.3 и 6.2 обратитесь в отдел обслуживания клиентов компании Adobe.

Сведения об уязвимости

Категория уязвимости
 Влияние уязвимости
 Серьезность
 Базовая оценка CVSS
 Вектор CVSS
 Номер CVE
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26028
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26030
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26031
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26032
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26033
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26034
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26035
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26038
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26040
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26041
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26042
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26043
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26044
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26045
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 4.5 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N CVE-2024-26050
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26052
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26056
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26059
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26061
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26062
Раскрытие информации (CWE-200) Обход функции безопасности Важная 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVE-2024-26063
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26064
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26065
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26067
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26069
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26073
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26080
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26094
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26096
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26102
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26103
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26104
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26105
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26106
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26107
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26118
Неправильный контроль доступа (CWE-284) Обход функции безопасности Важная 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVE-2024-26119
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26120
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26124
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26125
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-20760
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-20768
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
 CVE-2024-20799
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
 CVE-2024-20800
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-26101
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-41877
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода
 Важная
 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2024-41878
Межсайтовый скриптинг (сохраненный) (CWE-79)
 Выполнение произвольного кода Средняя 3.4 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:N/A:N CVE-2024-26051
Примечание.

Если клиент использует Apache httpd в прокси-сервере с нестандартной конфигурацией, он может быть подвержен уязвимости CVE-2023-25690, подробнее см. здесь: https://httpd.apache.org/security/vulnerabilities_24.html

Благодарности

Компания Adobe выражает благодарность следующим лицам за сообщение об этих проблемах и за помощь Adobe в защите наших клиентов: 

  • Лоренцо Пирондини: CVE-2024-26028, CVE-2024-26032, CVE-2024-26033, CVE-2024-26034, CVE-2024-26035, CVE-2024-26038, CVE-2024-26040, CVE-2024-26041, CVE-2024-26042, CVE-2024-26043, CVE-2024-26044, CVE-2024-26045, CVE-2024-26052, CVE-2024-26059, CVE-2024-26064, CVE-2024-26065, CVE-2024-26073, CVE-2024-26080, CVE-2024-26124, CVE-2024-26125, CVE-2024-20768, CVE-2024-20800
  • Jim Green (green-jam): CVE-2024-26030, CVE-2024-26031, CVE-2024-26056, CVE-2024-26061, CVE-2024-26062, CVE-2024-26067, CVE-2024-26069, CVE-2024-26094, CVE-2024-26096, CVE-2024-26101, CVE-2024-26102, CVE-2024-26103, CVE-2024-26104, CVE-2024-26105, CVE-2024-26106, CVE-2024-26107, CVE-2024-26118, CVE-2024-26119, CVE-2024-26120, CVE-2024-20760, CVE-2024-20799, CVE-2024-41877, CVE-2024-41878
  • Akshay Sharma (anonymous_blackzero): CVE-2024-26050, CVE-2024-26051

ПРИМЕЧАНИЕ. Adobe имеет частную, доступную только для приглашенных программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, заполните эту форму.

Редакции

21 августа 2024 г.: добавлены CVE-2024-41877 и CVE-2024-41878

20 Июнь 2024 г.: добавлены сведения о CVE-2024-26101

12 июня 2024 г.: удалены CVE-2024-26126 и CVE-2024-26127

3 апреля 2024 г.: добавлены сведения о CVE-2024-20800

1 апреля 2024 г.: добавлены сведения о CVE-2024-20799

18 марта 2024 г.: удалено CVE-2024-26048

Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com.

 Adobe

Получайте помощь быстрее и проще

Новый пользователь?

Ссылки быстрого перехода

Просмотреть все свои планы Управление планами
Просмотреть ссылки быстрого доступа
Скрыть ссылки быстрого доступа

Вопросы сообществу

Получайте помощь от экспертов по интересующим вас вопросам.

Задайте вопрос

Свяжитесь с нами

Реальная помощь от реальных людей.

Начать
^ Наверх