Идентификатор бюллетеня
Последнее обновление
18 апр. 2024 г.
Обновления системы безопасности для Adobe Experience Manager | APSB24-21
|
|
Дата публикации |
Приоритет |
|---|---|---|
|
APSB24-21 |
9 апреля 2024 г. |
3 |
Сводка
Компания Adobe выпустила обновления для Adobe Experience Manager (AEM). Эти обновления устраняют уязвимости, оцененные как важные. Эксплуатация этих уязвимостей может привести к выполнению произвольного кода и обходу функций безопасности.
Затрагиваемые версии продуктов
| Продукт | Версия | Платформа |
|---|---|---|
| Adobe Experience Manager (АЕМ) |
AEM Cloud Service (CS) |
Все |
| 6.5.19 и более ранние версии |
Все |
Решение
Компания Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий:
Продукт |
Версия |
Платформа |
Приоритет |
Доступность |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service, выпуск 2024.03 |
Все | 3 | Сведения о выпуске |
| 6.5.20 | Все |
3 |
Заметки о выпуске пакета обновления для AEM 6.5 |
Примечание.
Пользователи Cloud Service Adobe Experience Manager автоматически получат обновления, включающие новые функции, а также обновления системы безопасности и исправления ошибок в функциональности.
Примечание.
Меры предосторожности Experience Manager
Меры предосторожности в отношении AEM as a Cloud Service
Пакет усиления защиты анонимных разрешений
Примечание.
Для получения помощи с AEM версий 6.4, 6.3 и 6.2 обратитесь в отдел обслуживания клиентов компании Adobe.
Сведения об уязвимости
| Категория уязвимости |
Влияние уязвимости |
Серьезность |
Базовая оценка CVSS |
Вектор CVSS |
Номер CVE |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26046 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26047 |
| Раскрытие информации (CWE-200) | Обход функции безопасности | Важная | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N | CVE-2024-26076 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26079 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26084 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26087 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26097 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26098 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-26122 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20778 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20779 |
| Межсайтовый скриптинг (сохраненный) (CWE-79) |
Выполнение произвольного кода |
Важная | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2024-20780 |
Примечание.
Если клиент использует Apache httpd в прокси-сервере с нестандартной конфигурацией, он может быть подвержен уязвимости CVE-2023-25690, подробнее см. здесь: https://httpd.apache.org/security/vulnerabilities_24.html
Благодарности
Компания Adobe выражает благодарность следующим лицам за сообщение об этих проблемах и за помощь Adobe в защите наших клиентов:
- Lorenzo Pirondini: CVE-2024-26047, CVE-2024-26076, CVE-2024-26079, CVE-2024-26084,
- Jim Green (green-jam): CVE-2024-26087, CVE-2024-26097, CVE-2024-26098, CVE-2024-26122, CVE-2024-20778, CVE-2024-20779, CVE-2024-20780
- Akshay Sharma (anonymous_blackzero): CVE-2024-26046
ПРИМЕЧАНИЕ. Adobe имеет частную, доступную только для приглашенных программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, заполните эту форму.
Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com.