Adobe vá khẩn cấp hai lỗ hổng zero-day trong AEM Forms
Mới đây, Adobe đã phát hành bản cập nhật bảo mật nhằm khắc phục hai lỗ hổng zero-day trong Adobe Experience Manager (AEM) Forms trên JEE, sau khi chuỗi khai thác PoC bị tiết lộ, có thể được sử dụng để thực thi mã từ xa không xác thực trên các phiên bản dễ bị tấn công.
Theo đó, các lỗ hổng được Adobe vá bao gồm CVE-2025-54253 và CVE-2025-54254. Với CVE-2025-54253 (điểm CVSS: 8.6), đây là lỗ hổng cấu hình sai cho phép thực thi mã tùy ý. Lỗi này nằm trong module/adminui, Adobe để chế độ phát triển (development mode) bật mặc định, vốn không nên xuất hiện ở môi trường sản phẩm. Điều này cho phép kẻ tấn công gửi lệnh đặc biệt (OGNL expressions) để thực thi mã tùy ý qua HTTP mà không cần đăng nhập.
Mặt khác, CVE-2025-54254 (điểm CVSS: 10) liên quan đến dịch vụ xác thực SOAP - một phần trong AEM Forms. Bằng cách gửi một tệp tin XML được thiết kế đặc biệt, tin tặc có thể “đánh lừa” máy chủ tiết lộ các tệp tin cục bộ (ví dụ như win.ini) mà không cần xác thực, cho phép chúng đọc hệ thống tệp tùy ý.
Thực tế, các lỗ hổng bảo mật này đã được các nhà nghiên cứu Shubham Shah và Adam Kues đến từ công ty an ninh mạng Searchlight Cyber (Vương quốc Anh) phát hiện và tiết lộ cho Adobe vào ngày 28/4/2025, cùng với lỗ hổng thứ ba là CVE-2025-49533.
Adobe ban đầu đã vá lỗ hổng CVE-2025-49533 vào ngày 5/8, tuy nhiên hai lỗ hổng còn lại không được khắc phục sau hơn 90 ngày kể từ khi được cảnh báo, điều này làm dấy lên mối lo ngại về quy trình vá lỗi chậm trễ của Adobe.
Theo các nhà nghiên cứu, CVE-2025-49533 là một lỗ hổng Java deserialization trong mô-đun FormServer, cho phép thực thi mã từ xa không cần xác thực. Cụ thể, FormServer xử lý dữ liệu đầu vào mà không kiểm tra kỹ, dẫn tới việc tin tặc có thể gửi các payload độc hại để thực thi các lệnh trên máy chủ, thông qua quá trình giải mã đối tượng Java (deserialization) để chiếm quyền điều khiển.
Vì các lỗ hổng cho phép thực thi mã từ xa trên các máy chủ dễ bị tấn công, tất cả quản trị viên được khuyến nghị nên cài đặt các bản cập nhật mới nhất càng sớm càng tốt, đồng thời hạn chế quyền truy cập đầu vào từ Internet.
