JEE에서 RCE(CVE-2025-49533), Struts 개발 모드 구성(CVE-2025-54253), XXE(CVE-2025-54254) 및 AEM Forms의 취약점 완화 mitigating-xxe-configuration-rce-vulnerabilities-aem-forms
빠른 참조
해결된 취약점:
- 원격 코드 실행(CVE-2025-49533)
- 구성 보안 문제(CVE-2025-54253)
- XML 외부 엔티티(XXE) 처리(CVE-2025-54254)
개요
영향을 받는 사항
영향을 받지 않는 사항
- Experience Manager Forms Workbench (모든 버전)
- OSGi의 Experience Manager Forms(모든 버전)
- Experience Manager Forms as a Cloud Service
해결 옵션
시작하기에 앞서
변경하기 전에 수정하거나 업데이트하려는 EAR 파일 또는 DSC 파일을 백업하십시오.
- 배포 디렉터리에서 원본 EAR 또는 DSC 파일을 찾습니다.
- 파일을 배포 디렉터리 외부의 보안 백업 위치에 복사합니다.
- 업데이트를 진행하기 전에 백업이 완료되고 액세스할 수 있는지 확인하십시오.
이 주의 사항을 사용하면 업데이트 프로세스 중에 문제가 발생하는 경우 원래 상태를 복원할 수 있습니다.
옵션 1: (버전 6.5.23.0의 사용자용) 최신 핫픽스 설치
-
6.5.23.0용 핫픽스를 다운로드합니다.
-
표준 핫픽스/패치 설치 지침 준수
-
IBM WebSphere 또는 Oracle WebLogic에서 Document Security(이전의 Rights Management)를 사용하는 경우 AEM Forms 서버를 시작하기 전에 다음 Java 시스템 속성(JVM 인수)을 설정하십시오.
code language-none -Dcom.adobe.forms.jee.services.allowDoctypeDeclaration=true -
응용 프로그램 서버 다시 시작
옵션 2: (6.5.18.0 - 6.5.22.0의 사용자용) 수동 핫픽스 설치
1단계: 핫픽스 패키지 다운로드 및 추출
- Adobe 소프트웨어 배포 포털에서 - 6.5.22.6.5.18.0용핫픽스를 다운로드합니다.
- 로컬에서 추출
2단계: 올바른 버전 폴더로 이동
-
환경에 설치된 서비스 팩 버전에 따라 일치하는 폴더로 이동합니다.
서비스 팩 20의 예 폴더는 다음과 같습니다.
code language-none <extracted-hotfix>/SP20/
3단계: 배포 디렉터리 찾기
-
JEE 서버의 AEM Forms에서
code language-none [AEM installation directory]/deploy예:
adobe/adobe-experience-manager-forms/deploy
4단계: EAR 파일 업데이트 및 바꾸기
| tabs | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| JBos |
|
||||||||
| WebLogic |
|
||||||||
| WebSphere |
|
5단계: adobe-rightsmanagement-<appserver>-dsc.jar파일을(으)로 업데이트
| code language-none |
|---|
|
예, adobe-xxe-configuration-hotfix/SP20/jboss/adobe-rightsmanagement-jboss-dsc.jar
6단계: WebSphere 및 WebLogic에서 문서 보안을 위한 추가 구성:
Document Security(이전의 Rights Management)를 사용하는 경우 AEM Forms 서버를 시작하기 전에 다음 Java 시스템 속성(JVM 인수)을 설정하십시오.
| code language-none |
|---|
|
7단계: 구성 관리자 다시 실행
- 구성 관리자를 실행하여 업데이트된 EAR을 다시 배포하고 핫픽스를 적용합니다
옵션 3: (6.5.17.0 및 이전 버전의 사용자용) 업그레이드 경로
- 지원되는 서비스 팩 버전으로 업그레이드
- 새 버전을 기준으로 위의 옵션 1 또는 옵션 2를 따르십시오.