AEM：セキュリティスキャナーが/etc.clientlibsに古いバンドル jQueryを報告する
セキュリティスキャナーは、Adobe Experience Managerが/etc.clientlibs/...からの古いjQuery バージョンを提供していると報告し、その結果をパッチが適用されていない脆弱性として分類する可能性があります。 これは、スキャナーがバージョン文字列だけでバンドルされた1.12.4-aem バージョンを識別する場合に発生します。 Adobeは、1.12.4-aemを下位互換性のためのパッチ付きフォークとして保持しています。 発見に対処するには、レポートがバージョン検出のみに基づくかどうかを確認し、Adobeが公開したパッチ適用されたフォークのガイダンスを確認し、Adobeに付属するクライアントライブラリを直接変更しないでください。カスタムサイトコードで新しいjQuery バージョンが必要な場合は、プロジェクト所有のクライアントライブラリを使用します。
説明 description
環境
Adobe Experience Manager（AEM）
問題
セキュリティスキャナーは、/etc.clientlibs/clientlibs/granite/jquery.jsなどのパスから提供されるバンドルされたJavaScript ファイルが、古いjQuery バージョンを使用していることを報告する場合があります。 セキュリティチームは、バージョン文字列だけを、パッチが適用されていない脆弱性の証拠として解釈する場合があります。
検索例
スキャナーは、次のようなjQueryの結果を報告することができます。
jQuery - JavaScript - 1.12.4-aem
原因
一部のスキャナーは、バンドルライブラリをバージョン文字列で識別し、付属のコードにAdobeの文書化された修正が含まれているかどうかを確認しません。 AEMでは、1.12.4-aemはAdobeが管理するjQueryのフォークであり、Adobeが下位互換性を維持し、関連するセキュリティ修正を含む更新を行います。
解決策 resolution
次のガイダンスを使用して、調査結果を評価します。
- 最初に、バージョン検出のみに基づいて検索が行われるかどうかを確認します。 スキャナーがjQuery バージョン文字列のみを報告し、エクスプロイトエビデンスを含まない場合は、結果を検証が必要なバージョンベースの結果として扱います。
- Adobeの
1.12.4-aemに関する公開されたガイダンスを確認します。 Adobeは、1.12.4-aemを下位互換性のためのパッチを適用されたjQuery フォークとして管理し、CVE-2015-9251、CVE-2019-11358、CVE-2020-11022、およびCVE-2020-11023のドキュメント修正を行っています。 - Adobeに付属しているクライアントライブラリを直接変更しないでください。 Adobeが所有するライブラリを製品レベルの修復手順として置き換えたり、編集したりしないでください。
- 実装でカスタムフロントエンドコードの新しいjQuery バージョンが必要な場合は、そのバージョンを
/apps/<project>/clientlibsの下のプロジェクトクライアントライブラリに追加して管理します。 デプロイメントの前に、下位環境での互換性を検証します。 - 現在のAEM ビルドに対して問題を再現できる場合にのみ、 サポートケース を開きます。 正確なURL、影響を受けるファイルパス、ペイロード、明確な再生手順を含めます。