Résultats de l’analyse OSS pour ACS AEM Commons 6.17.4 dans Adobe Experience Manager as a Cloud Service
Cet article explique comment traiter les vulnérabilités d’analyse de sécurité open source signalées dans la dépendance ACS AEM Commons 6.17.4 lorsqu’elles sont utilisées avec Adobe Experience Manager as a Cloud Service. Il décrit les étapes à suivre pour corriger, évaluer ou documenter ces résultats pour les équipes de conformité et de sécurité.
Description description
Environnement
- Adobe Experience Manager as a Cloud Service
- Dépendance ACS AEM Commons :
com.adobe.acs:acs-aem-commons-all:zip:cloud:6.17.4
Problème/Symptômes
- Un analyseur OSS, tel que Sonatype, signale les résultats associés à la dépendance ACS AEM Commons.
- L’analyse répertorie les
sonatype-2016-0064, lesCVE-2024-21490ou lesCVE-2022-25844. - Les résultats apparaissent lors des vérifications de dépendance dans les fichiers de projet ou les analyses de sécurité CI/CD et doivent être examinés par les équipes de sécurité ou de conformité.
Cause
Le moteur d’analyse associe les résultats avec le package ACS AEM Commons, mais la coordonnée du package seule n’identifie pas la bibliothèque imbriquée et la version responsables de chaque résultat. CVE-2024-21490 et CVE-2022-25844 décrivent les problèmes de ReDoS liés à AngularJS ; vérifiez que l’arborescence de dépendance contient un package AngularJS et une version affectés avant d’attribuer l’un ou l’autre des CVE à ce package ACS AEM Commons. La recherche publique de Sonatype n’a pas renvoyé d’enregistrement pour sonatype-2016-0064 ; vérifiez cet identifiant par rapport au rapport complet de l’analyseur.
Résolution resolution
Suivez les étapes ci-dessous pour résoudre le problème :
- Passez en revue les notes de mise à jour d’ACS AEM Commons et vérifiez si une version plus récente que
6.17.4est disponible et répond aux CVE signalés. - Si une version plus récente corrige les vulnérabilités signalées, mettez à jour la dépendance du projet vers la dernière version compatible et redéployez l’application.
- Examinez chaque CVE signalé et déterminez s’il affecte les fonctionnalités d’ACS AEM Commons utilisées dans votre mise en œuvre.
- Si une vulnérabilité signalée est associée à une fonctionnalité qui n’est pas utilisée dans votre implémentation, documentez l’évaluation et partagez-la avec les parties prenantes appropriées en matière de sécurité ou de conformité.
- Si la politique de sécurité de votre entreprise le permet, configurez l’outil d’analyse OSS pour supprimer le résultat ou accepter le risque de vulnérabilités qui ne sont pas exploitables dans votre environnement.
- Si aucune correction n’est disponible et que la vulnérabilité est pertinente pour votre implémentation, envoyez un problème au projet GitHub ACS AEM Commons et incluez les détails CVE pertinents.
- Après avoir appliqué les modifications, relancez l’analyse du système d’exploitation et vérifiez que les vulnérabilités signalées sont corrigées ou correctement documentées.