Adobe Experience Manager (AEM) Forms on Java EE est une plateforme d’entreprise destinée à la création et à la gestion de processus sécurisés basés sur des formulaires. La CVE-2025-54254 est une vulnérabilité critique qui permet à des attaquants non authentifiés de lire des fichiers sur le serveur compromis. Elle affecte AEM Forms on JEE dans les versions 6.5.23.0 et antérieures. La vulnérabilité a été ajoutée à la base de données de la CISA et une preuve de concept (PoC) publique est disponible.

Résumé technique

La vulnérabilité est causée par une restriction inappropriée du traitement des entités externes XML (XXE) dans un composant de service web basé sur SOAP d’AEM Forms on JEE. Un attaquant peut envoyer une charge utile XML spécialement conçue contenant une référence à une entité externe vers le point de terminaison vulnérable /edcws/services/urn:EDCLicenseService (et potentiellement vers d’autres points de terminaison SOAP). Comme le parseur XML traite ces entités externes, l’attaquant peut récupérer des fichiers arbitraires du système de fichiers du serveur ou des fichiers de configuration contenant des données sensibles.
Cette faille est exploitable via le réseau sans authentification ni interaction de l’utilisateur.

Recommandations

1. Appliquer le correctif immédiatement : mettre à jour vers la version 6.5.0-0108 d’AEM Forms on JEE, tel qu’indiqué dans l’avis APSB25-82 d’Adobe.
2. Restreindre l’accès : limiter l’exposition des points de terminaison de service SOAP aux réseaux de confiance ou aux connexions VPN jusqu’à ce que le correctif soit appliqué.
3. Surveiller les journaux : vérifier les journaux du serveur à la recherche de requêtes POST XML suspectes vers /edcws/services/urn:EDCLicenseService ou des services SOAP similaires.
4. Sauvegarder avant toute modification : créer des sauvegardes du référentiel CRX, de l’archive des formulaires et des configurations associées avant d’appliquer la mise à jour.