AEM Forms コンポーネントにおける保存型 XSS

このXSS脆弱性は、攻撃者がAEM FormsのAuthor権限を持つユーザーになりすますことで、被害者のブラウザ上で任意のJavaScriptコードを実行できる可能性があります。これにより、攻撃者は機密情報を窃取したり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、Webサイトの見た目を改ざんしたりすることが可能です。特に、機密情報を含むフォームデータを扱うAEM Formsを使用している場合、この脆弱性の影響は甚大です。攻撃者は、フォームの入力フィールドに悪意のあるスクリプトを注入し、ユーザーがフォームを送信した際にスクリプトが実行されるように仕向けられます。

Organizations heavily reliant on Adobe AEM Forms for document management and workflows are at significant risk. Specifically, deployments with a large number of users granted 'Author' privileges are particularly vulnerable. Environments that haven't implemented robust input validation and output encoding practices are also at increased risk.

• java / server: Monitor AEM Forms logs for suspicious activity related to Forms component interactions. Look for unusual JavaScript code being stored in fields.

grep -i 'script' /path/to/aem/logs/error.log

• generic web: Use a WAF to monitor for XSS attempts targeting Forms components. Configure rules to block common XSS patterns. • generic web: Check response headers for the presence of unexpected JavaScript code.

curl -I https://your-aem-instance/forms/vulnerable-form | grep Content-Type

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Patch

   patch

1. 予約済み2020-03-02
2. 公開日2020-09-10
3. 更新日2024-09-16
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、AEM Formsを最新バージョンにアップデートすることです。Adobeは、脆弱性が修正されたバージョンをリリースしていますので、速やかにアップデートを実施してください。アップデートが困難な場合は、Formsコンポーネントの入力フィールドに対する入力検証を強化し、悪意のあるスクリプトの注入を防ぐための対策を講じる必要があります。また、Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃を検知・防御することも有効です。AEM Formsのセキュリティ設定を見直し、Author権限を持つユーザーの数を最小限に抑えることも重要です。アップデート後、AEM Formsのセキュリティ設定を再確認し、脆弱性が解消されていることを確認してください。