Ergebnisse des OSS-Scans für ACS AEM Commons 6.17.4 in Adobe Experience Manager as a Cloud Service
In diesem Artikel wird erläutert, wie Sie Sicherheitslücken bei der Open-Source-Suche beheben können, die in der Abhängigkeit von ACS AEM Commons 6.17.4 bei Verwendung mit Adobe Experience Manager as a Cloud Service gemeldet wurden. Es werden Schritte zur Behebung, Bewertung oder Dokumentation dieser Ergebnisse für Compliance- und Sicherheits-Teams beschrieben.
Beschreibung description
Umgebung
- Adobe Experience Manager as a Cloud Service
- ACS AEM Commons-Abhängigkeit:
com.adobe.acs:acs-aem-commons-all:zip:cloud:6.17.4
Problem/Symptome
- Ein OSS-Scanner, z. B. Sonatype, meldet Befunde, die mit der ACS AEM Commons-Abhängigkeit verbunden sind.
- Der Scan listet
sonatype-2016-0064,CVE-2024-21490oderCVE-2022-25844auf. - Die Ergebnisse werden bei Abhängigkeitsprüfungen in Projektdateien oder CI/CD-Sicherheitsüberprüfungen angezeigt und müssen von Sicherheits- oder Compliance-Teams überprüft werden.
Ursache
Der Scanner verknüpft die Ergebnisse mit dem ACS AEM Commons-Paket, aber die Paketkoordinate allein identifiziert nicht die verschachtelte Bibliothek und Version, die für jede Suche verantwortlich ist. CVE-2024-21490 und CVE-2022-25844 beschreiben AngularJS-bezogene ReDoS-Probleme. Überprüfen Sie, ob die Abhängigkeitsstruktur das betroffene AngularJS-Paket und die betroffene Version enthält, bevor Sie eine der beiden CVEs diesem ACS AEM Commons-Paket zuweisen. Die öffentliche Sonatype-Suche hat keinen Datensatz für sonatype-2016-0064 zurückgegeben. Überprüfen Sie diese Kennung im vollständigen Scannerbericht.
Lösung resolution
Gehen Sie wie folgt vor, um das Problem zu beheben:
- Lesen Sie die ACS AEM Commons-Versionshinweise und überprüfen Sie, ob eine neuere Version als
6.17.4verfügbar ist, die die gemeldeten CVEs adressiert. - Wenn eine neuere Version die gemeldeten Sicherheitslücken behebt, aktualisieren Sie die Projektabhängigkeit auf die neueste kompatible Version und stellen Sie die Anwendung erneut bereit.
- Überprüfen Sie die einzelnen gemeldeten CVEs und stellen Sie fest, ob sie sich auf alle in Ihrer Implementierung verwendeten ACS AEM Commons-Funktionen auswirken.
- Wenn eine gemeldete Sicherheitslücke mit einer Funktion verbunden ist, die nicht in Ihrer Implementierung verwendet wird, dokumentieren Sie die Bewertung und teilen Sie sie mit den entsprechenden Verantwortlichen für Sicherheit oder Compliance.
- Wenn die Sicherheitsrichtlinie Ihres Unternehmens dies zulässt, konfigurieren Sie das Tool zur Betriebssystemsuche, um die Suche zu unterdrücken oder das Risiko von Sicherheitslücken zu akzeptieren, die in Ihrer Umgebung nicht ausnutzbar sind.
- Wenn keine Problembehebung verfügbar ist und die Sicherheitslücke für Ihre Implementierung relevant ist, senden Sie ein Problem an das ACS AEM Commons GitHub-Projekt und geben Sie die entsprechenden CVE-Details an.
- Führen Sie nach dem Anwenden der Änderungen den Betriebssystemscan erneut aus und überprüfen Sie, ob die gemeldeten Sicherheitslücken behoben oder ordnungsgemäß dokumentiert wurden.