緩解JEE上AEM Forms的RCE (CVE-2025-49533)、Struts開發模式設定(CVE-2025-54253)、XXE (CVE-2025-54254)和漏洞 mitigating-xxe-configuration-rce-vulnerabilities-aem-forms
快速參考
已處理的漏洞：
- 遠端程式碼執行(CVE-2025-49533)
- 設定安全問題(CVE-2025-54253)
- XML外部實體(XXE)處理(CVE-2025-54254)
概觀
受影響的內容
未受影響的專案
- Experience Manager Forms Workbench （所有版本）
- OSGi上的Experience Manager Forms （所有版本）
- Experience Manager Forms as a Cloud Service
解析度選項
開始之前
在進行任何變更之前，請備份您要修改或更新的EAR檔案或DSC檔案：
- 在您的部署目錄中找出原始的EAR或DSC檔案。
- 將檔案複製到部署目錄外部的安全備份位置。
- 繼續進行任何更新之前，請確定備份完整且可存取。
此預防措施可讓您還原原始狀態，以防您在更新過程中遇到任何問題。
選項1： （適用於版本6.5.23.0的使用者）安裝最新的Hotfix
-
下載6.5.23.0的Hotfix。
-
遵循標準Hotfix/修補程式安裝指示
-
如果您在IBM WebSphere或Oracle WebLogic上使用Document Security (前身為Rights Management)，請在啟動AEM Forms伺服器前設定下列Java系統屬性（JVM引數）：
code language-none -Dcom.adobe.forms.jee.services.allowDoctypeDeclaration=true -
重新啟動應用程式伺服器
選項2： （適用於6.5.18.0 - 6.5.22.0的使用者）手動Hotfix安裝
步驟1：下載並解壓縮Hotfix套件
- 從Adobe軟體發佈入口網站下載 - 6.5.22.6.5.18.0的Hotfix
- 在本機擷取
步驟2：瀏覽至正確的版本資料夾
-
根據環境中安裝的Service Pack版本，前往相符的資料夾。
例如，Service Pack 20的資料夾為：
code language-none <extracted-hotfix>/SP20/
步驟3：找到部署目錄
-
在JEE伺服器上的AEM Forms上，前往：
code language-none [AEM installation directory]/deploy範例：
adobe/adobe-experience-manager-forms/deploy
步驟4：更新並取代EAR檔案
| tabs | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| JBoss |
|
||||||||
| WebLogic |
|
||||||||
| WebSphere |
|
步驟5：使用adobe-rightsmanagement-<appserver>-dsc.jar更新 檔案
| code language-none |
|---|
|
例如 adobe-xxe-configuration-hotfix/SP20/jboss/adobe-rightsmanagement-jboss-dsc.jar
步驟6： WebSphere和WebLogic上Document Security的其他設定：
如果您使用Document Security (前身為Rights Management)，請在啟動AEM Forms伺服器前設定下列Java系統屬性（JVM引數）：
| code language-none |
|---|
|
步驟7：重新執行組態管理員
- 啟動Configuration Manager以重新部署更新的EAR並套用Hotfix
選項3： （適用於6.5.17.0和更早版本的使用者）升級路徑
- 升級至支援的Service Pack版本
- 根據您的新版本，遵循以上選項1或選項2