Adobe Experience Manager 6.5.0 < 6.5.21 複数の脆弱性 (APSB24-28)
critical Nessus プラグイン ID 200354
Language:
概要
リモートホストにインストールされている Adobe Experience Manager インスタンスは、複数の脆弱性の影響を受けます。説明
リモートホストにインストールされている Adobe Experience Manager のバージョンは、6.5.21 より前です。したがって、APSB24-28 のアドバイザリに記載されている複数の脆弱性の影響を受けます。- UriComponentsBuilder を使用して、外部から提供された URL を (クエリパラメーターなどを通じて) 解析し、解析された URL のホストで検証チェックを実行するアプリケーションは、オープンリダイレクト https://cwe.mitre.org/data/definitions/601.html 攻撃または SSRF 攻撃に対して脆弱である可能性があります (検証チェックに合格した後に URL が使用された場合)。(CVE-2024-22243)
- Adobe Experience Manager バージョン 6.5.20 以前は、セキュリティ機能のバイパスにつながる不適切なアクセスコントロールの脆弱性の影響を受けます。攻撃者がこの脆弱性を利用して、セキュリティ対策をバイパスし、認証されていないアクセスを取得する可能性があります。この問題を悪用するにはユーザーの操作が必要です。(CVE-2024-26029)
- Adobe Experience Manager バージョン 6.5.20 (およびそれ以前) は、蓄積型クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。攻撃者がこれを悪用し、脆弱なフォームフィールドに悪意のあるスクリプトを注入する可能性があります。
被害者が脆弱なフィールドを含むページを閲覧するとき、悪意のある JavaScript が被害者のブラウザで実行される可能性があります。(CVE-2024-20769、CVE-2024-20784、CVE-2024-26036、CVE-2024-26054、CVE-2024-26060、CVE-2024-26066、CVE-2024-26068、CVE-2024-26070、CVE-2024-26071、CVE-2024-26074、CVE-2024-26075、CVE-2024-26077、CVE-2024-26078、CVE-2024-26081、CVE-2024-26082、CVE-2024-26083、CVE-2024-26085、CVE-2024-26088、CVE-2024-26092、CVE-2024-26095、CVE-2024-26110、CVE-2024-26121、CVE-2024-26123、CVE-2024-34119、CVE-2024-34120、CVE-2024-36142、CVE-2024-36143、CVE-2024-36144、CVE-2024-36146、CVE-2024-36147、CVE-2024-36148、CVE-2024-36149、CVE-2024-36150、CVE-2024-36152、CVE-2024-36153、CVE-2024-36154、CVE-2024-36155、CVE-2024-36156、CVE-2024-36157、CVE-2024-36158、CVE-2024-36159、CVE-2024-36160、CVE-2024-36161、CVE-2024-36162、CVE-2024-36163、CVE-2024-36164、CVE-2024-36165、CVE-2024-36166、CVE-2024-36167、CVE-2024-36168、CVE-2024-36169、CVE-2024-36170、CVE-2024-36171、CVE-2024-36172、CVE-2024-36173、CVE-2024-36174、CVE-2024-36175、CVE-2024-36176、CVE-2024-36177、CVE-2024-36178、CVE-2024-36179、CVE-2024-36180、CVE-2024-36182、CVE-2024-36185、CVE-2024-36186、CVE-2024-36187、CVE-2024-36188、CVE-2024-36189、CVE-2024-36191、CVE-2024-36192、CVE-2024-36193、CVE-2024-36194、CVE-2024-36195、CVE-2024-36196、CVE-2024-36198、CVE-2024-36199、CVE-2024-36200、CVE-2024-36201、CVE-2024-36202、CVE-2024-36203、CVE-2024-36204、CVE-2024-36205、CVE-2024-36207、CVE-2024-36208、CVE-2024-36209、CVE-2024-36212、CVE-2024-36213、CVE-2024-36214、CVE-2024-36215、CVE-2024-36217、CVE-2024-36218、CVE-2024-36219、CVE-2024-36221、CVE-2024-36225、CVE-2024-36232)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように誘導したり、悪意のあるフォームを送信させたりするなどのユーザーの操作が必要です。
(CVE-2024-26037, CVE-2024-36183, CVE-2024-36229)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、被害者に特別に細工されたリンクをクリックさせたり、脆弱性を引き起こすフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-26039、CVE-2024-26053、CVE-2024-36197、CVE-2024-36228)
- Adobe Experience Manager バージョン 6.5.20 (およびそれ以前) は、蓄積型クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。特権を持つ攻撃者がこれを悪用し、脆弱なフォームフィールドに悪意のあるスクリプトを注入する可能性があります。被害者が脆弱なフィールドを含むページを閲覧するとき、悪意のある JavaScript が被害者のブラウザで実行される可能性があります。(CVE-2024-26049)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように誘導したり、悪意のあるスクリプトをトリガーするフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-26057)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、被害者に特別に細工されたリンクをクリックさせたりするなどのユーザーの操作が必要です。(CVE-2024-26058、CVE-2024-26090、CVE-2024-36236、CVE-2024-36239)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように被害者を誘導したり、脆弱なスクリプトを実行させるフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-26072)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。被害者は悪意を持って細工されたスクリプトを使用してウェブページにアクセスする必要があるため、この問題を悪用するにはユーザーの操作が必要です。(CVE-2024-26089、CVE-2024-36151)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように被害者を誘導したり、脆弱なスクリプトを実行させるフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-26091)
- Adobe Experience Manager バージョン 6.5.20 以前は、反射型クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、悪意のある JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。
(CVE-2024-26086、CVE-2024-26093、CVE-2024-26111、CVE-2024-26113、CVE-2024-26114、CVE-2024-26115、CVE-2024-26116、CVE-2024-26117、CVE-2024-36206、CVE-2024-36210、CVE-2024-36216)
- Adobe Experience Manager バージョン 6.5.20 以前は、セキュリティ機能のバイパスにつながる不適切な入力検証の影響を受けます。権限の低い攻撃者がこの脆弱性を悪用して、セキュリティ対策をバイパスし、ページの整合性に影響を与える可能性があります。この問題を悪用するにはユーザーの操作が必要です。(CVE-2024-26126、CVE-2024-26127、CVE-2024-36226)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように被害者を誘導したり、悪意のあるスクリプトをトリガーするフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-26055)
- Adobe Experience Manager バージョン 6.5.20 (およびそれ以前) は、蓄積型クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。権限の低い特権を持つ攻撃者がこれを悪用し、脆弱なフォームフィールドに悪意のあるスクリプトを注入する可能性があります。被害者が脆弱なフィールドを含むページを閲覧するとき、悪意のある JavaScript が被害者のブラウザで実行される可能性があります。(CVE-2024-34141、CVE-2024-34142、CVE-2024-36141)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、通常、被害者を誘導して悪意のある細工されたウェブページにアクセスさせたり、アプリケーション内で悪意を持って変更された DOM 要素を操作させたりするという、ユーザーの操作が必要です。(CVE-2024-36181)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、通常、ユーザーに悪意のあるリンクをクリックさせたり、特別に細工されたフォームを送信させたりといった、ユーザーの操作が必要です。
(CVE-2024-36184)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、通常、ユーザーに特別に細工されたリンクをクリックさせたり、脆弱性を引き起こすフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-36190、CVE-2024-36234)
- Adobe Experience Manager バージョン 6.5.20 以前は、反射型クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。低い特権を持つ攻撃者が、被害者に脆弱なページを参照している URL にアクセスするよう誘導することができる場合、悪意のある JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。(CVE-2024-36211)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、特別に細工されたリンクをクリックさせるように被害者を誘導したり、悪意のあるスクリプトをトリガーするフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-36220)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、通常、被害者に特別に細工されたリンクをクリックさせたり、脆弱性を引き起こすフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-36222)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるようにユーザーを誘導したり、脆弱なスクリプトを実行させるフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-36224)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように誘導したり、悪意のあるフォームを送信させたりするなどのユーザーの操作が必要です。
(CVE-2024-36227)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように誘導したり、悪意のあるスクリプトの実行を引き起こすフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-36230、CVE-2024-36235)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。通常、この問題を悪用するには、特別に細工されたリンクをクリックさせるように誘導したり、悪意のあるスクリプトの実行を引き起こすフォームを送信させたりするなどのユーザーの操作が必要です。(CVE-2024-36231)
- Adobe Experience Manager バージョン 6.5.20 以前の応答。DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、通常、被害者に悪意のあるリンクをクリックさせたりするなどのユーザーの操作が必要です。(CVE-2024-36233)
- Adobe Experience Manager バージョン 6.5.20 以前は、DOM ベースのクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。この脆弱性により、攻撃者は被害者のブラウザセッションの文脈で任意の JavaScript コードを実行できる可能性があります。この問題を悪用するには、通常、ユーザーに悪意のあるリンクをクリックさせたり、悪意をもって作成されたウェブページとのやり取りをさせるといった、ユーザーの操作が必要です。(CVE-2024-36238)
- 任意コード実行を引き起こす可能性があるクロスサイトスクリプティング (蓄積型 XSS) (CWE-79) (CVE-2024-36223)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Adobe Experience Manager バージョン 6.5.21 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: Critical
ID: 200354
ファイル名: adobe_experience_manager_apsb24-28.nasl
バージョン: 1.6
タイプ: remote
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2024/6/11
更新日: 2024/6/25
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.4
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2024-26029
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:adobe:experience_manager
必要な KB アイテム: installed_sw/Adobe Experience Manager
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2024/6/11
脆弱性公開日: 2024/3/12
参照情報
CVE: CVE-2024-20769, CVE-2024-20784, CVE-2024-22243, CVE-2024-26029, CVE-2024-26036, CVE-2024-26037, CVE-2024-26039, CVE-2024-26049, CVE-2024-26053, CVE-2024-26054, CVE-2024-26055, CVE-2024-26057, CVE-2024-26058, CVE-2024-26060, CVE-2024-26066, CVE-2024-26068, CVE-2024-26070, CVE-2024-26071, CVE-2024-26072, CVE-2024-26074, CVE-2024-26075, CVE-2024-26077, CVE-2024-26078, CVE-2024-26081, CVE-2024-26082, CVE-2024-26083, CVE-2024-26085, CVE-2024-26086, CVE-2024-26088, CVE-2024-26089, CVE-2024-26090, CVE-2024-26091, CVE-2024-26092, CVE-2024-26093, CVE-2024-26095, CVE-2024-26110, CVE-2024-26111, CVE-2024-26113, CVE-2024-26114, CVE-2024-26115, CVE-2024-26116, CVE-2024-26117, CVE-2024-26121, CVE-2024-26123, CVE-2024-26126, CVE-2024-26127, CVE-2024-34119, CVE-2024-34120, CVE-2024-34141, CVE-2024-34142, CVE-2024-36141, CVE-2024-36142, CVE-2024-36143, CVE-2024-36144, CVE-2024-36146, CVE-2024-36147, CVE-2024-36148, CVE-2024-36149, CVE-2024-36150, CVE-2024-36151, CVE-2024-36152, CVE-2024-36153, CVE-2024-36154, CVE-2024-36155, CVE-2024-36156, CVE-2024-36157, CVE-2024-36158, CVE-2024-36159, CVE-2024-36160, CVE-2024-36161, CVE-2024-36162, CVE-2024-36163, CVE-2024-36164, CVE-2024-36165, CVE-2024-36166, CVE-2024-36167, CVE-2024-36168, CVE-2024-36169, CVE-2024-36170, CVE-2024-36171, CVE-2024-36172, CVE-2024-36173, CVE-2024-36174, CVE-2024-36175, CVE-2024-36176, CVE-2024-36177, CVE-2024-36178, CVE-2024-36179, CVE-2024-36180, CVE-2024-36181, CVE-2024-36182, CVE-2024-36183, CVE-2024-36184, CVE-2024-36185, CVE-2024-36186, CVE-2024-36187, CVE-2024-36188, CVE-2024-36189, CVE-2024-36190, CVE-2024-36191, CVE-2024-36192, CVE-2024-36193, CVE-2024-36194, CVE-2024-36195, CVE-2024-36196, CVE-2024-36197, CVE-2024-36198, CVE-2024-36199, CVE-2024-36200, CVE-2024-36201, CVE-2024-36202, CVE-2024-36203, CVE-2024-36204, CVE-2024-36205, CVE-2024-36206, CVE-2024-36207, CVE-2024-36208, CVE-2024-36209, CVE-2024-36210, CVE-2024-36211, CVE-2024-36212, CVE-2024-36213, CVE-2024-36214, CVE-2024-36215, CVE-2024-36216, CVE-2024-36217, CVE-2024-36218, CVE-2024-36219, CVE-2024-36220, CVE-2024-36221, CVE-2024-36222, CVE-2024-36223, CVE-2024-36224, CVE-2024-36225, CVE-2024-36226, CVE-2024-36227, CVE-2024-36228, CVE-2024-36229, CVE-2024-36230, CVE-2024-36231, CVE-2024-36232, CVE-2024-36233, CVE-2024-36234, CVE-2024-36235, CVE-2024-36236, CVE-2024-36238, CVE-2024-36239