CVE-2025-54253
Adobe Experience Manager Forms Code Execution Vulnerability
Beschreibung
CVE-2025-54253 ist die schwerwiegendste Art von Schwachstelle: eine kritische Sicherheitsluecke in Adobe Experience Manager (AEM) Forms mit dem Hoechstwert von CVSS 10.0. Die Schwachstelle betrifft Versionen bis einschliesslich 6.5.23 und basiert auf einer fehlerhaften Autorisierung (CWE-863), die einem nicht authentifizierten Angreifer die Ausfuehrung beliebigen Codes ohne Benutzerinteraktion ermoeglicht. Besonders besorgniserregend ist, dass der Scope geaendert wird (Changed Scope), was bedeutet, dass auch andere Systemkomponenten betroffen sein koennen. Die Schwachstelle ist im CISA KEV-Katalog gelistet (Frist: 05.11.2025) und hat einen EPSS-Score von 0.441 (97.5. Perzentil).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | experience manager forms | <= 6.5.23.0 |
Referenzen
- https://helpx.adobe.com/security/products/aem-forms/apsb25-82.html(Vendor Advisory)
- https://slcyber.io/assetnote-security-research-center/struts-devmode-in-2025-critical-pre-auth-vulnerabilities-in-adobe-experience-manager-forms/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-54253(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-863: Incorrect Authorization
CWE-863 beschreibt eine Schwachstelle, bei der ein System die Autorisierung fuer eine Aktion nicht korrekt durchfuehrt, obwohl der Benutzer authentifiziert sein koennte. Im Fall von CVE-2025-54253 liegt eine Fehlkonfiguration in Adobe Experience Manager Forms vor, die dazu fuehrt, dass Sicherheitsmechanismen umgangen werden koennen. Ein Angreifer kann diese fehlerhafte Autorisierung ausnutzen, um ohne gueltige Berechtigung beliebigen Code auf dem Server auszufuehren.
Auswirkungsanalyse
CVE-2025-54253 hat mit einem CVSS-Score von 10.0 die maximal moegliche Schwere und stellt eine existenzielle Bedrohung fuer betroffene Organisationen dar. Vertraulichkeit: Der Angreifer erhaelt vollstaendigen Zugriff auf alle Daten des AEM Forms-Systems und potenziell auf verbundene Systeme (Changed Scope). Dies umfasst Kundendaten, Formulardaten, interne Dokumente und Zugangsdaten. Integritaet: Durch die Moeglichkeit zur beliebigen Code-Ausfuehrung kann der Angreifer Daten, Formulare und Systemkonfigurationen beliebig manipulieren. Er kann Backdoors installieren und das System als Ausgangspunkt fuer weitere Angriffe nutzen. Verfuegbarkeit: Die vollstaendige Kontrolle ueber das System ermoeglicht die Stoerung oder Zerstoerung aller AEM Forms-Dienste. Ausnutzungswahrscheinlichkeit: Der EPSS-Score von 0.441 (97.5. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die CISA KEV-Listung bestaetigt die aktive Ausnutzung. Der Ransomware-Status ist als unbekannt klassifiziert, doch die vollstaendige Systemuebernahme bietet ideale Voraussetzungen fuer Ransomware-Einsatz.
Exploit-Reifegrad
CVE-2025-54253 wird aktiv ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, mit einer Patch-Frist bis zum 5. November 2025. Der EPSS-Score von 0.441 (97.5. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Detaillierte Exploit-Informationen wurden von SL Cyber / Assetnote veroeffentlicht, die die Schwachstelle im Kontext von Struts DevMode beschreiben: Exploit-Details bei SL Cyber. Die Schwachstelle nutzt eine Fehlkonfiguration in AEM Forms aus, die mit Struts-DevMode-Funktionalitaet zusammenhaengt. Der Ransomware-Status ist als unbekannt eingestuft, doch der CVSS-Hoechstwert von 10.0 und die Pre-Auth-Code-Execution machen dies zu einer der gefaehrlichsten aktuell bekannten Schwachstellen.
Behebung
- Adobe-Sicherheitsupdate installieren: Wenden Sie umgehend das Sicherheitsupdate gemaess dem Adobe Security Bulletin APSB25-82 an. Aktualisieren Sie AEM Forms auf eine Version hoeher als 6.5.23.
- Struts-DevMode deaktivieren: Stellen Sie sicher, dass der Struts DevMode in Ihrer AEM Forms-Installation deaktiviert ist. Pruefen Sie die Struts-Konfigurationen auf unsichere Einstellungen.
- Netzwerkzugriff einschraenken: Beschraenken Sie den Zugriff auf AEM Forms auf vertrauenswuerdige Netzwerke und implementieren Sie starke Authentifizierungsmechanismen vor dem AEM-Server, beispielsweise durch einen Reverse Proxy mit vorgeschalteter Authentifizierung.
- Forensische Analyse durchfuehren: Fuehren Sie eine gruendliche forensische Untersuchung des AEM Forms-Servers durch, um festzustellen, ob die Schwachstelle bereits ausgenutzt wurde. Pruefen Sie insbesondere auf ungewoehnliche Prozesse, neue Dateien und Netzwerkverbindungen.
- Verbundene Systeme pruefen: Da der CVSS-Scope als 'Changed' klassifiziert ist, pruefen Sie auch alle Systeme, die mit dem AEM Forms-Server verbunden sind, auf Anzeichen einer Kompromittierung.
Technische Details
Der CVSS-Vektor fuer CVE-2025-54253 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H mit dem absoluten Hoechstwert von 10.0 (kritisch). Angriffsvektor (AV:N): Die Schwachstelle ist ueber das Netzwerk erreichbar. Angriffskomplexitaet (AC:L): Die Ausnutzung ist unkompliziert. Erforderliche Privilegien (PR:N): Keine Authentifizierung erforderlich. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion noetig. Scope (S:C): Der Scope ist geaendert (Changed), was bedeutet, dass die Auswirkungen ueber die verwundbare Komponente hinaus auf andere Systemkomponenten uebergreifen koennen. Auswirkungen: Alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H). Der Angriffsmechanismus basiert auf einer Fehlkonfiguration in Adobe Experience Manager Forms, die mit der Struts-DevMode-Funktionalitaet zusammenhaengt. Durch die fehlerhafte Autorisierung koennen Angreifer ohne gueltige Anmeldedaten auf geschuetzte Funktionen zugreifen und beliebigen Code auf dem Server ausfuehren. Die Changed-Scope-Bewertung bedeutet, dass ein kompromittierter AEM-Forms-Server als Sprungbrett fuer Angriffe auf verbundene Backend-Systeme, Datenbanken und andere Infrastrukturkomponenten dienen kann.
Häufig gestellte Fragen
Was ist CVE-2025-54253 und warum hat sie den hoechsten CVSS-Score?
CVE-2025-54253 ist eine kritische Fehlkonfigurationsschwachstelle in Adobe Experience Manager Forms mit dem maximal moeglichen CVSS-Score von 10.0. Der Hoechstwert ergibt sich aus der Kombination von: Netzwerkzugriff, keiner erforderlichen Authentifizierung, keiner Benutzerinteraktion, geaendertem Scope und maximalen Auswirkungen auf Vertraulichkeit, Integritaet und Verfuegbarkeit.
Welche Versionen von AEM Forms sind betroffen?
Alle Versionen von Adobe Experience Manager Forms bis einschliesslich Version 6.5.23.0 sind betroffen. Organisationen sollten die von Adobe bereitgestellten Patches umgehend installieren.
Was bedeutet 'Changed Scope' in diesem Zusammenhang?
Changed Scope (S:C) bedeutet, dass ein erfolgreicher Angriff nicht nur die verwundbare Komponente (AEM Forms) betrifft, sondern auch auf andere Systemkomponenten uebergreifen kann. Ein kompromittierter AEM-Forms-Server koennte als Ausgangspunkt fuer Angriffe auf Datenbanken, Backend-Systeme und andere verbundene Infrastruktur dienen.
Wie haengt die Schwachstelle mit Struts DevMode zusammen?
Die Schwachstelle nutzt eine Fehlkonfiguration aus, die mit der Struts-DevMode-Funktionalitaet in AEM Forms zusammenhaengt. Struts DevMode bietet erweiterte Debug-Funktionen, die in Produktionsumgebungen nicht aktiv sein sollten. Durch die fehlerhafte Autorisierung koennen diese Funktionen von nicht authentifizierten Angreifern missbraucht werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.