Bulletin-ID
Zuletzt aktualisiert am
18. September 2025
Verfügbare Sicherheitsupdates für Adobe Experience Manager | APSB25-90
|
|
Veröffentlichungsdatum |
Priorität |
|---|---|---|
|
APSB25-90 |
9. September 2025 |
3 |
Zusammenfassung
Adobe hat Sicherheitsupdates für Adobe Experience Manager (AEM) veröffentlicht. Diese Updates beheben Sicherheitslücken, die als kritisch und wichtig eingestuft wurden. Die erfolgreiche Ausnutzung dieser Schwachstellen könnte zur Umgehung von Sicherheitsfunktionen führen.
Adobe sind keine Fälle bekannt, in denen die in diesen Updates behobenen Sicherheitslücken ausgenutzt wurden.
Betroffene Produktversionen
| Produkt | Version | Plattform |
|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service (CS) |
Alle |
6.5 LTS SP1 und frühere Versionen 6.5.23 und frühere Versionen |
Alle |
Lösung
Adobe empfiehlt allen Anwendern die Installation der neuesten Version und stuft die Priorität dieser Updates wie folgt ein:
Produkt |
Version |
Platform |
Priorität |
Verfügbarkeit. |
|---|---|---|---|---|
| Adobe Experience Manager (AEM) |
AEM Cloud Service Freigabe 2025.9 | Alle | 3 | Versionshinweise |
| Adobe Experience Manager (AEM) | 6.5 LTS SP1 (GRANITE-61551 Hotfix) | Alle | 3 | Versionshinweise |
| Adobe Experience Manager (AEM) | 6.5.23 (GRANITE-61551 Hotfix) | Alle | 3 | Versionshinweise |
Hinweis:
Kunden, die den Cloud Service von Adobe Experience Manager nutzen, erhalten automatisch Updates mit neuen Funktionen sowie Fehlerbehebungen für Sicherheit und Funktionalität.
Hinweis:
Experience Manager Sicherheitsüberlegungen:
AEM as a Cloud Service Sicherheitsüberlegungen
Anonyme Berechtigungshärtung Paket
Hinweis:
Bitte wenden Sie sich für Hilfe mit den AEM-Versionen 6.4, 6.3 und 6.2 an den Adobe-Kundendienst.
Sicherheitslückendetails
| Sicherheitslückenkategorie |
Sicherheitslückenauswirkung |
Problemstufe |
CVSS-Basispunktzahl |
CVSS-Vektor |
CVE-Nummer |
| Unangemessene Eingabevalidierung (CWE-20) | Umgehung der Sicherheitsfunktionen | Kritisch | 7,7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N | CVE-2025-54248 |
| Falsche Autorisierung (CWE-863) | Umgehung der Sicherheitsfunktionen | Wichtig | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N | CVE-2025-54246 |
| Unangemessene Eingabevalidierung (CWE-20) | Umgehung der Sicherheitsfunktionen | Wichtig | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N | CVE-2025-54247 |
| Server-Side Request Forgery (SSRF) (CWE-918) | Umgehung der Sicherheitsfunktionen | Wichtig | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N | CVE-2025-54249 |
| Unangemessene Eingabevalidierung (CWE-20) | Umgehung der Sicherheitsfunktionen | Wichtig | 4.9 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N | CVE-2025-54250 |
| XML-Injektion (auch Blind XPath-Injektion) (CWE-91) | Umgehung der Sicherheitsfunktionen | Wichtig | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N | CVE-2025-54251 |
| Cross-Site-Scripting (beständiges XSS) (CWE-79) | Umgehung der Sicherheitsfunktionen | Wichtig | 5.4 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | CVE-2025-54252 |
Hinweis:
Wenn ein Kunde Apache httpd in einem Proxy mit einer nicht standardmäßigen Konfiguration verwendet, kann er von CVE-2023-25690 betroffen sein - bitte lies hier mehr: https://httpd.apache.org/security/vulnerabilities_24.html
Danksagung
Adobe bedankt sich bei den folgenden Forschern für das Melden dieser Schwachstellen und ihre Zusammenarbeit mit Adobe zum Schutz der Sicherheit unserer Kunden:
- Dylan Pindur und Adam Kues (Assetnote) - CVE-2025-54246, CVE-2025-54247, CVE-2025-54248, CVE-2025-54249, CVE-2025-54250, CVE-2025-54251, CVE-2025-54252
HINWEIS: Adobe hat ein öffentliches Bug-Bounty-Programm mit HackerOne. Wenn Sie an einer Zusammenarbeit mit Adobe als externer Sicherheitsforscher interessiert sind, informieren Sie sich bitte hier: https://hackerone.com/adobe
Weitere Informationen gibt es unter https://helpx.adobe.com/de/security.html oder per E-Mail an PSIRT@adobe.com.
