Adobe Experience Manager: Fehlerhafte Berechtigungsprüfung führt zu Codeausführung
Zusammenfassung
Adobe Experience Manager 6.5 enthält eine fehlerhafte Berechtigungsprüfung (CWE-863), die zur beliebigen Codeausführung im Kontext des aktuellen Benutzers führen kann. Ein Angreifer mit einem Konto mit niedrigen Rechten reicht aus, es ist keine Benutzerinteraktion nötig und der Scope ist verändert, sodass die Auswirkungen über die verwundbare Komponente hinausreichen können. Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
Betroffen
- Adobe Experience Manager (AEM) 6.5: bis und mit 6.5.25 (Bereich laut CNA-Eintrag: 0 bis <= 6.5.25)
- AEM Cloud Service und AEM 6.5 LTS: laut Adobe-Bulletin APSB26-189 für diese CVE nicht betroffen
Behoben in
- AEM 6.5: Service Pack 23, 24 und 25 - Cumulative Hotfix für GRANITE-75052 (gemäss Adobe-Bulletin APSB26-189)
- Hinweis: Der CVE-Eintrag nennt für 6.5.25 den Hotfix GRANITE-75398. Vor dem Patchen den korrekten Hotfix für Ihre Version im Bulletin prüfen.
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Zugriff auf AEM-Author- und Publish-Instanzen einschränken, Zugriff über Dispatcher oder Proxy auf benötigte Pfade begrenzen und die Berechtigungsprüfung eigener Servlets und Komponenten überprüfen, bis der Hotfix eingespielt ist.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in diesem Update in freier Wildbahn bekannt.
- OffSeq: nicht als ausgenutzt bekannt. Strix: nicht in der KEV-Liste.
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Selbst gehostete AEM-6.5-Instanzen identifizieren und die genaue Service-Pack-Version bestätigen.
- Internetzugängliche Instanzen sowie Instanzen mit selbst registrierten oder Partnerkonten priorisieren.
- Den Cumulative Hotfix für GRANITE-75052 gemäss APSB26-189 einspielen und die Wirksamkeit prüfen.
- Logs auf ungewöhnliche Aktionen von Konten mit niedrigen Rechten prüfen und auf neue Exploit-Meldungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-189 www.adobe.com
- Strix CVE page CVE-2026-119017 www.strix.ai
- OffSeq CVE page CVE-2026-119017 radar.offseq.com
- Adobe bulletin index for Experience Manager helpx.adobe.com
- Sibling CVE-2026-114371 (Strix) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.