Mitigating RCE (CVE-2025-49533), Struts Dev Mode Configuration (CVE-2025-54253), XXE (CVE-2025-54254) och Vulnerabilities for AEM Forms on JEE mitigating-xxe-configuration-rce-vulnerabilities-aem-forms
Snabbreferens
Säkerhetsluckor som har åtgärdats:
- Fjärrexekvering av kod (CVE-2025-49533)
- Konfigurationssäkerhetsproblem (CVE-2025-54253)
- XML-bearbetning av extern enhet (XXE) (CVE-2025-54254)
Ökning
Vad som påverkas
Vad som inte påverkas
- Experience Manager Forms Workbench (alla versioner)
- Experience Manager Forms on OSGi (alla versioner)
- Experience Manager Forms as a Cloud Service
Upplösningsalternativ
Innan du börjar
Innan du gör några ändringar bör du göra en säkerhetskopia av den EAR-fil eller DSC-fil som du håller på att ändra eller uppdatera:
- Leta reda på den ursprungliga EAR- eller DSC-filen i din distributionskatalog.
- Kopiera filen till en säker plats för säkerhetskopiering utanför distributionskatalogen.
- Kontrollera att säkerhetskopian är fullständig och tillgänglig innan du fortsätter med uppdateringarna.
Med den här säkerhetsfunktionen kan du återställa det ursprungliga läget om du stöter på problem under uppdateringsprocessen.
Alternativ 1: (För användare i version 6.5.23.0) Installera den senaste snabbkorrigeringen
-
Följ standardinstruktionerna för installation av snabbkorrigering/korrigering
-
Om du använder dokumentsäkerhet (tidigare Rights Management) på IBM WebSphere eller Oracle WebLogic anger du följande Java-systemegenskap (JVM-argument) innan du startar AEM Forms-servern:
code language-none -Dcom.adobe.forms.jee.services.allowDoctypeDeclaration=true -
Starta om programservern
Alternativ 2: (För användare på 6.5.18.0 - 6.5.22.0) Manuell Hotfix-installation
Steg 1: Hämta och extrahera snabbkorrigeringspaketet
- Hämta snabbkorrigeringen för 6.5.18.0 - 6.5.22.2} från Adobe Software Distribution Portal
- Extrahera lokalt
Steg 2: Navigera till rätt versionsmapp
-
Gå till den matchande mappen baserat på vilken Service Pack-version som är installerad i din miljö.
Exempel för Service Pack 20 är:
code language-none <extracted-hotfix>/SP20/
Steg 3: Leta reda på distributionskatalogen
-
På din AEM Forms på JEE-server går du till:
code language-none [AEM installation directory]/deployExempel:
adobe/adobe-experience-manager-forms/deploy
Steg 4: Uppdatera och ersätt EAR-filerna
| tabs | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| JBoss |
|
||||||||
| WebLogic |
|
||||||||
| WebSphere |
|
Steg 5: Uppdatera adobe-rightsmanagement-<appserver>-dsc.jarfilen med
| code language-none |
|---|
|
Exempel: adobe-xxe-configuration-hotfix/SP20/jboss/adobe-rightsmanagement-jboss-dsc.jar
Steg 6: Ytterligare konfiguration för dokumentsäkerhet i WebSphere och WebLogic:
Om du använder Dokumentsäkerhet (tidigare Rights Management) anger du följande Java-systemegenskap (JVM-argument) innan du startar AEM Forms-servern:
| code language-none |
|---|
|
Steg 7: Kör Configuration Manager igen
- Starta Configuration Manager för att omdistribuera den uppdaterade EAR-uppdateringen och tillämpa snabbkorrigeringen
Alternativ 3: (För användare på 6.5.17.0 och tidigare) Uppgraderingssökväg
- Uppgradera till en Service Pack-version som stöds
- Följ alternativ 1 eller alternativ 2 ovan baserat på den nya versionen