米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は6月13日(米国時間)、「Adobe Releases Security Updates for Multiple Products｜CISA」において、Adobe製品に複数の脆弱性が存在するとして、注意を喚起した。これら脆弱性を悪用されると、攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性がある。

脆弱性に関する情報は次のページにまとまっている。

  • Adobe Security Bulletin - Security updates available for Adobe Experience Manager｜APSB23-31

    Adobe Security Bulletin - Security updates available for Adobe Experience Manager ｜ APSB23-31

脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。

  • Adobe Experience Manager (AEM) AEM Cloud Service (CS)
  • Adobe Experience Manager (AEM) 6.5.16.0およびこれよりも前のバージョン
  • Adobe Commerce 2.4.6 およびこれよりも前のバージョン
  • Adobe Commerce 2.4.5-p2 およびこれよりも前のバージョン
  • Adobe Commerce 2.4.4-p3 およびこれよりも前のバージョン
  • Adobe Commerce 2.4.3-ext-2 およびこれよりも前のバージョン
  • Adobe Commerce 2.4.2-ext-2 およびこれよりも前のバージョン
  • Adobe Commerce 2.4.1-ext-2 およびこれよりも前のバージョン
  • Adobe Commerce 2.4.0-ext-2 およびこれよりも前のバージョン
  • Adobe Commerce 2.3.7-p4-ext-2 およびこれよりも前のバージョン
  • Magento Open Source 2.4.6 およびこれよりも前のバージョン
  • Magento Open Source 2.4.5-p2 およびこれよりも前のバージョン
  • Magento Open Source 2.4.4-p3 およびこれよりも前のバージョン
  • Adobe Animate 2022 22.0.9 およびこれよりも前のバージョン (Windows版、macOS版)
  • Adobe Animate 2023 23.0.1 およびこれよりも前のバージョン (Windows版、macOS版)
  • Adobe Substance 3D Designer 12.4.1 およびこれよりも前のバージョン (Windows版、macOS版)

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

  • Adobe Experience Manager (AEM) AEM Cloud Service Release 2023.4
  • Adobe Experience Manager (AEM) 6.5.17.0
  • Adobe Commerce 2.4.6-p1
  • Adobe Commerce 2.4.5-p3
  • Adobe Commerce 2.4.4-p4
  • Adobe Commerce 2.4.3-ext-3
  • Adobe Commerce 2.4.2-ext-3
  • Adobe Commerce 2.4.1-ext-3
  • Adobe Commerce 2.4.0-ext-3
  • Adobe Commerce 2.3.7-p4-ext-3
  • Magento Open Source 2.4.6-p1
  • Magento Open Source 2.4.5-p3
  • Magento Open Source 2.4.4-p4
  • Adobe Animate 2022 22.0.10 (Windows版、macOS版)
  • Adobe Animate 2023 23.0.2 (Windows版、macOS版)
  • Adobe Substance 3D Designer 13.0.0 (Windows版、macOS版)

セキュリティアドバイザリでは、深刻度が緊急(Critical)の脆弱性が4個、深刻度が重要(Important)の脆弱性が8個報告されている。CISAは、上記のセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。