Бюллетень безопасности Adobe

Поиск

Последнее обновление 18 апр. 2024 г.

Обновления системы безопасности для Adobe Experience Manager | APSB24-21

Идентификатор бюллетеня	Дата публикации	Приоритет
APSB24-21	9 апреля 2024 г.	3

Сводка

Компания Adobe выпустила обновления для Adobe Experience Manager (AEM). Эти обновления устраняют уязвимости, оцененные как важные.  Эксплуатация этих уязвимостей может привести к выполнению произвольного кода и обходу функций безопасности.

Затрагиваемые версии продуктов

Продукт	Версия	Платформа
Adobe Experience Manager (АЕМ)	AEM Cloud Service (CS)	Все
Adobe Experience Manager (АЕМ)	6.5.19 и более ранние версии	Все

Решение

Компания Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий:

Продукт	Версия	Платформа	Приоритет	Доступность
Adobe Experience Manager (AEM)	AEM Cloud Service, выпуск 2024.03	Все	3	Сведения о выпуске
Adobe Experience Manager (AEM)	6.5.20	Все	3	Заметки о выпуске пакета обновления для AEM 6.5

Примечание.

Пользователи Cloud Service Adobe Experience Manager автоматически получат обновления, включающие новые функции, а также обновления системы безопасности и исправления ошибок в функциональности.

Примечание.

Меры предосторожности Experience Manager

Меры предосторожности в отношении AEM as a Cloud Service
Пакет усиления защиты анонимных разрешений

Примечание.

Для получения помощи с AEM версий 6.4, 6.3 и 6.2 обратитесь в отдел обслуживания клиентов компании Adobe.

Сведения об уязвимости

Категория уязвимости	Влияние уязвимости	Серьезность	Базовая оценка CVSS	Вектор CVSS	Номер CVE
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26046
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26047
Раскрытие информации (CWE-200)	Обход функции безопасности	Важная	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	CVE-2024-26076
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26079
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26084
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26087
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26097
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26098
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-26122
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-20778
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-20779
Межсайтовый скриптинг (сохраненный) (CWE-79)	Выполнение произвольного кода	Важная	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2024-20780

Примечание.

Если клиент использует Apache httpd в прокси-сервере с нестандартной конфигурацией, он может быть подвержен уязвимости CVE-2023-25690, подробнее см. здесь: https://httpd.apache.org/security/vulnerabilities_24.html

Благодарности

Компания Adobe выражает благодарность следующим лицам за сообщение об этих проблемах и за помощь Adobe в защите наших клиентов:

Lorenzo Pirondini: CVE-2024-26047, CVE-2024-26076, CVE-2024-26079, CVE-2024-26084,
Jim Green (green-jam): CVE-2024-26087, CVE-2024-26097, CVE-2024-26098, CVE-2024-26122, CVE-2024-20778, CVE-2024-20779, CVE-2024-20780
Akshay Sharma (anonymous_blackzero): CVE-2024-26046

ПРИМЕЧАНИЕ. Adobe имеет частную, доступную только для приглашенных программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, заполните эту форму.

Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com.