Mitigazione di RCE (CVE-2025-49533), configurazione Struts Dev Mode (CVE-2025-54253), XXE (CVE-2025-54254) e vulnerabilità per AEM Forms su JEE mitigating-xxe-configuration-rce-vulnerabilities-aem-forms
Riferimento rapido
Vulnerabilità risolte:
- Esecuzione di codice remoto (CVE-2025-49533)
- Problemi di sicurezza della configurazione (CVE-2025-54253)
- Elaborazione XXE (XML External Entity) (CVE-2025-54254)
Panoramica
Che cosa è interessato
Cosa non viene interessato
- Experience Manager Forms Workbench (tutte le versioni)
- Experience Manager Forms su OSGi (tutte le versioni)
- Experience Manager Forms as a Cloud Service
Opzioni di risoluzione
Prima di iniziare
Prima di apportare qualsiasi modifica, eseguire una copia di backup del file EAR o del file DSC che si sta per modificare o aggiornare:
- Individuare il file EAR o DSC originale nella directory di distribuzione.
- Copiare il file in un percorso di backup protetto all'esterno della directory di distribuzione.
- Prima di procedere con gli aggiornamenti, verificare che il backup sia completo e accessibile.
Questa precauzione ti consente di ripristinare lo stato originale nel caso in cui si verifichino problemi durante il processo di aggiornamento.
Opzione 1: (per gli utenti nella versione 6.5.23.0) installare l'aggiornamento rapido più recente
-
Se utilizzi Document Security (precedentemente Rights Management) su IBM WebSphere o Oracle WebLogic, imposta la seguente proprietà di sistema Java (argomento JVM) prima di avviare il server AEM Forms:
code language-none -Dcom.adobe.forms.jee.services.allowDoctypeDeclaration=true -
Riavvia il server applicazioni
Opzione 2: (per gli utenti su 6.5.18.0 - 6.5.22.0) Installazione manuale degli hotfix
Passaggio 1: scarica ed estrai il pacchetto Hotfix
- Scarica hotfix per 6.5.18.0 - 6.5.22. dal portale di distribuzione software di Adobe
- Estrai localmente
Passaggio 2: passare alla cartella della versione corretta
-
In base alla versione del Service Pack installata nel tuo ambiente, vai alla cartella corrispondente.
Esempio per Service Pack 20 la cartella è:
code language-none <extracted-hotfix>/SP20/
Passaggio 3: individuare la directory di distribuzione
-
Nel server AEM Forms su JEE, vai a:
code language-none [AEM installation directory]/deployEsempio:
adobe/adobe-experience-manager-forms/deploy
Passaggio 4: aggiornare e sostituire i file EAR
| tabs | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| JBoss |
|
||||||||
| WebLogic |
|
||||||||
| WebSphere |
|
Passaggio 5: aggiorna adobe-rightsmanagement-<appserver>-dsc.jarfile con
| code language-none |
|---|
|
Ad esempio adobe-xxe-configuration-hotfix/SP20/jboss/adobe-rightsmanagement-jboss-dsc.jar
Passaggio 6: configurazione aggiuntiva per Document Security su WebSphere e WebLogic:
Se utilizzi Document Security (precedentemente Rights Management), imposta la seguente proprietà di sistema Java (argomento JVM) prima di avviare il server AEM Forms:
| code language-none |
|---|
|
Passaggio 7: rieseguire Configuration Manager
- Avvia Configuration Manager per ridistribuire l’EAR aggiornato e applicare l’hotfix
Opzione 3: percorso di aggiornamento per gli utenti di 6.5.17.0 e versioni precedenti
- Passare a una versione del Service Pack supportata
- Segui le opzioni 1 o 2 di cui sopra in base alla nuova versione