Adobe Experience Manager 6.5.0.0 < 6.5.11.0 多個弱點 (APSB21-103)

critical Nessus Plugin ID 156060

概要

遠端主機上安裝的 Adobe Experience Manager 執行個體受到多個弱點影響。

說明

遠端主機上安裝的 Adobe Experience Manager 版本低於經過測試的版本。因此,其會受到 apsb21-103 公告中提及的多個漏洞影響。

- AEM Forms Cloud Service 產品以及 6.5.10.0 (及更舊版本) 受到一個 XML 外部實體 (XXE) 插入弱點影響,而攻擊者可濫用該弱點來達到 RCE 目的。(CVE-2021-40722)

- Adobe Experience Manager 6.5.9.0 (及更舊版本) 在建立內容片段時受到一個已儲存的 XSS 弱點影響。經驗證的攻擊者可傳送格式錯誤的 POST 要求,以達到執行任意程式碼的目的。受害者瀏覽到含有易受攻擊欄位的頁面時,受害者的瀏覽器中可能執行惡意 JavaScript 。(CVE-2021-40711)

- Adobe Experience Manager 6.5.9.0 (及更舊版本) 受到一個透過路徑參數不當驗證輸入弱點的影響。經驗證的攻擊者可傳送格式錯誤的 POST 要求,以達到在伺服器端拒絕服務的目的。(CVE-2021-40712)

- Adobe Experience Manager 6.5.9.0 (及更舊版本) 受到一個不當存取控制弱點影響,進而可導致繞過安全性功能。透過操控參照標頭,未經驗證的攻擊者可存取其本無存取權限的任意頁面。(CVE-2021-42725)

- AEM 的 Cloud Service 產品,以及版本 6.5.7.0 (及以下版本)、6.4.8.3 (及以下版本) 和 6.3.3.8 (及以下版本) 受到已儲存跨網站指令碼 (XSS) 弱點影響,攻擊者可濫此弱點,將惡意指令碼插入容易遭受攻擊的表單欄位。受害者瀏覽到含有易受攻擊欄位的頁面時,受害者的瀏覽器中可能執行惡意 JavaScript 。(CVE-2021-43761)

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級至 Adobe Experience Manager 6.5.11.0 或更新版本。

另請參閱

https://cwe.mitre.org/data/definitions/20.html

https://cwe.mitre.org/data/definitions/79.html

https://cwe.mitre.org/data/definitions/611.html

http://www.nessus.org/u?29bb3f13

Plugin 詳細資訊

嚴重性: Critical

ID: 156060

檔案名稱: adobe_experience_manager_apsb21-103.nasl

版本: 1.6

類型: remote

系列: Misc.

已發布: 2021/12/14

已更新: 2022/9/19

支援的感應器: Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 5.5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: CVE-2021-40722

CVSS v3

風險因素: Critical

基本分數: 9.8

時間分數: 8.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/a:adobe:experience_manager

必要的 KB 項目: installed_sw/Adobe Experience Manager

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2021/12/14

弱點發布日期: 2021/9/14

參考資訊

CVE: CVE-2021-40711, CVE-2021-40712, CVE-2021-40722, CVE-2021-42725, CVE-2021-43761, CVE-2021-43762, CVE-2021-43764, CVE-2021-43765, CVE-2021-44176, CVE-2021-44177, CVE-2021-44178

CWE: 20, 611, 79

IAVA: 2021-A-0585-S