Zero-day zraniteľnosti v produkte Adobe Experience Manager Forms on JEE

Spoločnosť Adobe vydala bezpečnostné aktualizácie na svoj produkt Adobe Experience Manager (AEM) Forms on JEE, ktoré opravujú dve kritické zero-day zraniteľnosti. Zraniteľnosti možno zneužiť na získanie neoprávneného prístupu k citlivým údajom, vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

  • Adobe Experience Manager (AEM) Forms on JEE vo verziách starších ako 6.5.0-0108

Opis zraniteľnosti:

CVE-2025-54253 (CVSS skóre 10,0)

Kritická zraniteľnosť spočíva miskonfigurácii administratívneho rozhrania, ktorá ponecháva aktívny vývojársky režim Struts. Zraniteľnosť možno zneužiť na vzdialené vykonanie kódu a získanie úplnej kontroly nad systémom.

CVE-2025-54254 (CVSS skóre 8,6)

Zraniteľnosť spočíva v nesprávnej reštrikcii externých referencií v rámci spracovávaných XML dokumentov. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na realizáciu XXE (XML External Entity) útokov a čítanie obsahu súborov na súborovom systéme.

Pozn.: Na uvedené zraniteľnosti je v súčasnosti dostupný tzv. Proof of Concept kód demonštrujúci návod ich zneužitia.

Bližšie informácie o zraniteľnostiach môžete nájsť na stránkach bezpečnostných výskumníkov zo spoločnosti Searchlight Cyber, ktorí predmetnú zraniteľnosť objavili.

Možné škody:

  • Vykonanie škodlivého kódu
  • Neoprávnený prístup k citlivým údajom

Odporúčania:

Administrátorom a používateľom odporúčame vykonať bezodkladnú aktualizáciu AEM Forms on JEE na verziu 6.5.0-0108. Detailný návod na inštaláciu záplat v závislosti od používanej verzie produktu môžete nájsť online na stránke výrobcu.

Zdroje: