ドキュメントExperience Cloud KCS

Adobe Experience Manager as a Cloud ServiceでのACS AEM Commons 6.17.4のOSS スキャン結果

最終更新日： 2026年10月30日

この記事では、ACS AEM Commons 6.17.4の依存関係で報告されているオープンソースのセキュリティスキャンの脆弱性に、Adobe Experience Manager as a Cloud Serviceで使用する場合に対処する方法について説明します。 コンプライアンス部門とセキュリティ部門のために、これらの調査結果を修正、評価、文書化する手順の概要を示します。

説明 description

環境

  • Adobe Experience Manager as a Cloud Service
  • ACS AEM Commonsの依存関係：com.adobe.acs:acs-aem-commons-all:zip:cloud:6.17.4

問題/症状

  • SonatypeなどのOSS スキャナーは、ACS AEM Commons依存関係に関連する調査結果を報告します。
  • スキャン リスト sonatype-2016-0064、CVE-2024-21490またはCVE-2022-25844。
  • 調査結果は、プロジェクトファイルまたはCI/CD セキュリティスキャンでの依存関係チェック中に表示され、セキュリティチームまたはコンプライアンスチームによるレビューが必要です。

原因

スキャナーは調査結果をACS AEM Commons パッケージに関連付けますが、パッケージの座標だけでは、各調査結果を担当するネストされたライブラリとバージョンを特定できません。 CVE-2024-21490およびCVE-2022-25844では、AngularJS関連のReDoSの問題について説明しています。このACS AEM Commons パッケージにCVEを割り当てる前に、依存関係ツリーに影響を受けるAngularJS パッケージとバージョンが含まれていることを確認してください。 パブリック Sonatype ルックアップはsonatype-2016-0064のレコードを返しませんでした。この識別子を完全なスキャナーレポートに照らし合わせて検証してください。

解決策 resolution

問題を解決するには、次の手順に従います。

  1. ACS AEM Commons リリースノートを確認し、報告されたCVEに対応する6.17.4より新しいバージョンが使用可能かどうかを確認します。
  2. 新しいリリースで報告された脆弱性が修正された場合は、プロジェクトの依存関係を最新の互換性のあるバージョンに更新し、アプリケーションを再デプロイします。
  3. 報告された各CVEを確認し、それが実装で使用されているACS AEM Commons機能に影響を与えるかどうかを判断します。
  4. 報告された脆弱性が、実装で使用されていない機能に関連付けられている場合は、評価を文書化し、適切なセキュリティまたはコンプライアンスの関係者と共有します。
  5. 組織のセキュリティポリシーで許可されている場合は、OSS スキャンツールを設定して、検出を抑制するか、環境で悪用できない脆弱性のリスクを受け入れます。
  6. 解決策がなく、脆弱性が実装に関連する場合は、ACS AEM Commons GitHub プロジェクトに問題を送信し、関連するCVEの詳細を含めてください。
  7. 変更を適用した後、OSS スキャンを再実行し、報告された脆弱性が修正されているか、適切に文書化されていることを確認します。
recommendation-more-help
experience-cloud-kcs-help-kbarticles