Adobe, POCS serbest bırakıldıktan sonra AEM formları için acil durum düzeltmeleri sıfır günler için acil düzeltmeler

Adobe, savunmasız örneklerde kimlik doğrulanmamış, uzaktan kod yürütülmesi için kullanılabilecek bir POC istismar zinciri açıklandıktan sonra JEE’de Adobe Experience Manager (AEM) formlarında iki sıfır günlük kusur için acil durum güncellemeleri yayınladı.

Kusurlar CVE-2025-54253 ve CVE-2025-54254 olarak izlenir:

• CVE-2025-54253: Keyfi Kod Yürütülmesine izin veren yanlış yapılandırma. 8.6 CVSS puanı ile “kritik” olarak derecelendirildi.
• CVE-2025-54254: Rasgele dosya sisteminin okunmasına izin veren XML harici varlık referansının (XXE) uygunsuz kısıtlanması. Maksimum 10.0 CVSS puanı ile “kritik” olarak derecelendirildi.

Adobe, bu danışmanlıkta açıklandığı gibi en son sürümlerde kusurları düzeltti.

Güvenlik açıkları, 28 Nisan 2025’te CVE-2025-49533 ile birlikte 28 Nisan 2025’te Adobe’ye açıklayan Shubham Shah ve Adam Kues tarafından keşfedildi.

Adobe başlangıçta CVE-2025-49533’ü 5 Ağustos’ta yamaladı ve diğer iki kusuru 90 günden fazla bir süre boyunca serbest bıraktı.

Adobe’yi açıklama zaman çizelgelerini uyardıktan sonra, araştırmacılar 29 Temmuz’da güvenlik açıklarının nasıl çalıştığını ve bunların nasıl kullanılabileceğini detaylandıran teknik bir yazı yayınladılar.

Araştırmacılara göre, CVE-2025-49533, FormServer modülünde, kimlik doğrulanmamış uzaktan kod yürütülmesine (RCE) izin veren bir Java sazizleme kusurudur. Bir sunucu uygulaması, kullanıcı tarafından sağlanan verileri, doğrulama olmadan kod çözerek ve sazelleştirerek işler, saldırganların sunucudaki komutları yürütmek için kötü amaçlı yükler göndermesine izin verir.

CVE-2025-54254 olarak izlenen XXE güvenlik açığı, sabun kimlik doğrulamasını işleyen bir web hizmetini etkiler. Özel hazırlanmış bir XML yükü göndererek, saldırganlar hizmeti, kimlik doğrulaması olmadan Win.ini gibi yerel dosyaları ortaya çıkarmaya kandırabilir.

Son olarak, CVE-2025-54253 kusuru, yanlış yapılandırılmış bir geliştirici ayarı ile birlikte /adminui modülünde bir kimlik doğrulama bypassından kaynaklanır.

Araştırmacılar, Struts2’nin geliştirme modunun yanlışlıkla etkinleştirildiğini ve saldırganların HTTP isteklerinde gönderilen hata ayıklama parametreleri aracılığıyla OGNL ifadelerini yürütmesine izin verdiğini buldular.

Kusurlar, savunmasız sunucularda uzaktan kod yürütülmesine izin verdiğinden, tüm yöneticilerin en son güncellemeleri ve sıcaklıkları mümkün olan en kısa sürede yüklemeleri önerilir.

Bu mümkün değilse, araştırmacılar platforma erişimi internetten kısıtlamayı şiddetle tavsiye ediyorlar.