SecBoard
Zurück zur Übersicht
Mittel27 / 100Konfidenz: Mittel
CVSS9.3EPSS0.8 %Über Netz erreichbarOhne Anmeldung

Installieren Sie umgehend die von Adobe bereitgestellten Sicherheitsupdates für alle betroffenen Adobe Experience Manager-Instanzen.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

  • Hoechster CVSS-Basiswert 9.3+17
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2025-64537, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
  • 4 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2025-64540, CVE-2025-64552, CVE-2025-64860, CVE-2025-64874

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

[UPDATE] [hoch] Adobe Experience Manager: Mehrere Schwachstellen

CERT-Bund·
Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen im Adobe Experience Manager (AEM) ermöglichen Angreifern und Informationslecks. Betroffen sind verschiedene AEM-Versionen auf Linux, Windows und UNIX. Nutzer sollten die bereitgestellten Updates von Adobe umgehend installieren, um die Risiken zu minimieren.

SecBoard-Einordnung

Die Ausnutzung dieser Schwachstellen kann zu Cross-Site Scripting-Angriffen führen, die die Integrität von Webseiten beeinträchtigen und zur Offenlegung sensibler Informationen führen können. Dies kann den Ruf der Organisation schädigen und Compliance-Verletzungen nach sich ziehen.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer durch XSS-Angriffe Benutzerdaten stehlen, Sitzungen kapern oder bösartigen Code im Browser von AEM-Nutzern ausführen. Informationslecks könnten sensible Unternehmens- oder Kundendaten preisgeben.

Empfehlung: Installieren Sie umgehend die von Adobe bereitgestellten Sicherheitsupdates für alle betroffenen Adobe Experience Manager-Instanzen. Überprüfen Sie die AEM-Konfigurationen auf Best Practices zur Minimierung von XSS-Risiken.

Key Facts· 12 / 121

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2025-64537
CVSS
9.3 · CRITICAL
EPSS
0.8%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64538
CVSS
9.3 · CRITICAL
EPSS
0.7%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64539
CVSS
9.3 · CRITICAL
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64610
CVSS
5.4 · MEDIUM
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64542
CVSS
5.4 · MEDIUM
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64551
CVSS
5.4 · MEDIUM
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64566
CVSS
5.4 · MEDIUM
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64569
CVSS
5.4 · MEDIUM
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64541
CVSS
5.4 · MEDIUM
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64543
CVSS
5.4 · MEDIUM
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64544
CVSS
5.4 · MEDIUM
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com
CVE-2025-64549
CVSS
5.4 · MEDIUM
EPSS
0.3%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
psirt@adobe.com

Betroffen

Organisationen, die Adobe Experience Manager (AEM) auf Linux, Windows oder UNIX-Plattformen einsetzen.

Hersteller

Adobe

Produkte

Experience Manager
▸ CPE-Rohbezeichner anzeigen (6)
  • cpe:2.3:a:adobe:experience_manager:*:*:*:*:-:*:*:*
  • cpe:2.3:a:adobe:experience_manager:*:*:*:*:aem_cloud_service:*:*:*
  • cpe:2.3:a:adobe:experience_manager:*:-:*:*:lts:*:*:*
  • cpe:2.3:a:adobe:experience_manager:6.5:-:*:*:lts:*:*:*
  • cpe:2.3:a:adobe:experience_manager:6.5:sp1:*:*:lts:*:*:*
  • cpe:2.3:a:adobe:experience_manager:6.5:sp2:*:*:lts:*:*:*

Prüfen

3
  • ▸Überprüfen Sie alle Adobe Experience Manager-Instanzen auf die installierte Version und stellen Sie sicher, dass die neuesten Sicherheitsupdates von Adobe angewendet wurden.
  • ▸Scannen Sie Ihre AEM-Anwendungen mit Web-Schwachstellen-Scannern, um potenzielle XSS-Schwachstellen zu identifizieren, die möglicherweise nicht durch Patches behoben wurden oder durch benutzerdefinierten Code entstanden sind.
▸ 1 weitere
  • ▸Überprüfen Sie die Zugriffsprotokolle und Sicherheitsereignisse von AEM auf ungewöhnliche Aktivitäten oder Anzeichen von Informationslecks oder XSS-Angriffsversuchen.

Offene Punkte

4
▸ anzeigen
  • ▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
  • ▸Es wird nicht spezifiziert, welche genauen AEM-Versionen betroffen sind, nur dass es "verschiedene" sind.
  • ▸Der genaue Typ der offengelegten Informationen wird nicht spezifiziert.
  • ▸Es werden keine spezifischen Angreifergruppen oder Kampagnen genannt, die diese Schwachstellen ausnutzen.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Möglich
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Haben wir Windows extern erreichbar?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„Mehrere Schwachstellen im Adobe Experience Manager (AEM) ermöglichen Angreifern Cross-Site Scripting und Informationslecks.“

T1530Data from Cloud Storagezugeordnet

„Informationslecks könnten sensible Daten aus AEM-Speichern preisgeben.“

T1566.001Phishing: Phishing: Spearphishing Attachmentzugeordnet

„Cross-Site Scripting (XSS) könnte für Phishing-Angriffe genutzt werden, um Anmeldeinformationen zu stehlen.“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen
hoch
Vollständigen Artikel lesen bei CERT-Bund