Risultati della scansione OSS per ACS AEM Commons 6.17.4 in Adobe Experience Manager as a Cloud Service
Questo articolo spiega come risolvere le vulnerabilità di analisi della sicurezza open source segnalate nella dipendenza ACS AEM Commons 6.17.4 quando utilizzato con Adobe Experience Manager as a Cloud Service. Descrive i passaggi per correggere, valutare o documentare questi risultati per i team di conformità e sicurezza.
Descrizione description
Ambiente
- Adobe Experience Manager as a Cloud Service
- Dipendenza ACS AEM Commons:
com.adobe.acs:acs-aem-commons-all:zip:cloud:6.17.4
Problema/Sintomi
- Uno scanner OSS, come Sonatype, riporta i risultati associati alla dipendenza ACS AEM Commons.
- L’analisi elenca
sonatype-2016-0064,CVE-2024-21490oCVE-2022-25844. - I risultati vengono visualizzati durante i controlli di dipendenza nei file di progetto o nelle scansioni di sicurezza CI/CD e richiedono la revisione da parte dei team di sicurezza o conformità.
Causa
Lo scanner associa i risultati al pacchetto ACS AEM Commons, ma la sola coordinata del pacchetto non identifica la libreria nidificata e la versione responsabile di ciascun risultato. CVE-2024-21490 e CVE-2022-25844 descrivono i problemi di ReDoS relativi a AngularJS; verifica che la struttura di dipendenza contenga un pacchetto e una versione di AngularJS interessati prima di attribuire entrambi i CVE a questo pacchetto ACS AEM Commons. La ricerca pubblica di Sonatype non ha restituito alcun record per sonatype-2016-0064. Verificare l’identificatore rispetto al report completo dello scanner.
Risoluzione resolution
Per risolvere il problema, segui i passaggi seguenti:
- Consulta le note sulla versione di ACS AEM Commons e verifica se è disponibile una versione più recente di
6.17.4che tratta i CVE segnalati. - Se una versione più recente risolve le vulnerabilità segnalate, aggiorna la dipendenza del progetto all’ultima versione compatibile e ridistribuisci l’applicazione.
- Esamina ogni CVE segnalato e determina se influisce su eventuali funzioni ACS AEM Commons utilizzate nell’implementazione.
- Se una vulnerabilità segnalata è associata a una funzione non utilizzata nell’implementazione, documenta la valutazione e condividila con le parti interessate coinvolte nella sicurezza o nella conformità.
- Se i criteri di sicurezza dell’organizzazione lo consentono, configura lo strumento di scansione OSS per eliminare il risultato o accettare il rischio di vulnerabilità non sfruttabili nell’ambiente.
- Se non è disponibile alcun rimedio e la vulnerabilità è rilevante per l’implementazione, invia un problema al progetto GitHub ACS AEM Commons e includi i dettagli CVE pertinenti.
- Dopo aver applicato eventuali modifiche, esegui nuovamente la scansione OSS e verifica che le vulnerabilità segnalate siano state corrette o adeguatamente documentate.