Adobe Experience Manager | Incorrect Authorization (CWE-863)

CVE-2025-54253 é uma falha de RCE pré-autenticação em Adobe Experience Manager Forms quando implantado de forma standalone sobre um servidor J2EE (ex.: JBoss), não no AEM Sites/Assets padrão. O problema foi descoberto pela Searchlight Cyber (parte de uma cadeia de três bugs críticos reportados à Adobe em abril de 2025) e envolve o modo devMode do Struts2 exposto em produção, permitindo bypass de autorização e execução de código sem qualquer interação do usuário. Está no catálogo KEV da CISA com exploração confirmada e PoC pública circulando, o que torna o CVSS 10.0 realista — mas o impacto real depende de a instância AEM Forms estar exposta à internet como aplicação standalone.

A CVE é classificada como CWE-863 (Incorrect Authorization) e o próprio Adobe a descreve como 'misconfiguration'. O mecanismo, segundo a pesquisa da Searchlight Cyber, está ligado ao devMode do Apache Struts2 embarcado na aplicação AEM Forms: esse modo de depuração do framework permite que parâmetros especiais de debug sejam processados antes ou fora do fluxo normal de autenticação/autorização da aplicação, abrindo caminho para avaliação de expressões OGNL controladas pelo atacante — o clássico vetor de RCE que o Struts2 já apresentou em outras CVEs históricas quando devMode fica acessível em ambiente de produção.

O detalhe exato do endpoint/parâmetro explorado em CVE-2025-54253 não está descrito no material que revisamos (a Searchlight documentou em detalhe apenas a vulnerabilidade correlata de desserialização, CVE-2025-49533, via GetDocumentServlet, e citou a falha de devMode apenas nominalmente como 'SL-AEM-FORMS-1'). O que se sabe com segurança: a falha afeta a implantação standalone de AEM Forms em servidor J2EE-compatível, é diferente da falha de desserialização já corrigida separadamente, e resulta em execução de código no contexto do servidor de aplicação.

Essa CVE faz parte de um lote de três falhas críticas na mesma superfície (AEM Forms): CVE-2025-49533 (desserialização insegura via GetDocumentServlet, corrigida antes), CVE-2025-54253 (RCE via devMode do Struts2, este registro) e CVE-2025-54254 (XXE nos web services do AEM Forms). As duas últimas foram corrigidas juntas no boletim APSB25-82, cerca de três meses após a divulgação inicial à Adobe.

Pré-requisito real: a instância vulnerável precisa ser um deployment standalone de AEM Forms sobre servidor J2EE (JBoss ou equivalente) acessível pela rede — não é a instalação padrão de AEM Sites/Assets que a maioria dos ambientes corporativos roda. Não há necessidade de autenticação (PR:N) nem de interação do usuário (UI:N), e a complexidade de ataque é baixa (AC:L), consistente com o CVSS 10.0 e o Scope Changed do vetor.

A presença do produto costuma ser identificável remotamente por endpoints característicos, como `/lc/libs/livecycle/core/content/login.html` (tela de login do AEM Forms) e `/edcws/` (web services expostos). A partir daí, o atacante interage com a funcionalidade de devMode do Struts2 para contornar os controles de autorização e fazer o servidor avaliar código/expressões controladas por ele, obtendo execução arbitrária no processo da aplicação — o que normalmente equivale a controle total do host, dado o privilégio típico do processo de aplicação J2EE.

A CVE está no catálogo KEV da CISA desde 15/10/2025, com prazo de correção em 05/11/2025, confirmando exploração ativa observada — a CISA classifica o uso em campanhas de ransomware como 'desconhecido'. Existe PoC pública, o que reduz a barreira para exploração em massa contra instâncias expostas à internet.

A correção definitiva é aplicar o boletim de segurança da Adobe APSB25-82, que trata CVE-2025-54253 junto com CVE-2025-54254 (XXE). Não conseguimos confirmar nas fontes lidas o número exato da build/patch corrigida (o conteúdo do advisory da Adobe não foi capturado no material fornecido) — consulte o boletim oficial para a versão específica de AEM Forms/JEE que resolve o problema antes de considerar o ambiente corrigido.

Enquanto o patch não é aplicado, a própria Searchlight Cyber recomendou como controle compensatório real: restringir o acesso externo (internet) a implantações standalone de AEM Forms, mantendo-as acessíveis apenas em rede interna/VPN. Esse controle não corrige a falha, mas elimina o vetor pré-autenticado remoto que a torna crítica — o custo é operacional, exigindo reconfiguração de rede/firewall e possivelmente afetando integrações externas que dependem do serviço.

O que não resolve: aplicar apenas o patch de CVE-2025-49533 (desserialização) não cobre esta CVE — são vulnerabilidades distintas, corrigidas em momentos diferentes. Também não há mitigação por WAF documentada nas fontes revisadas; dado que o mecanismo exato do devMode explorado não foi publicado em detalhe, regras de assinatura específicas têm eficácia incerta.

Sinal de exposição/risco (não necessariamente de exploração): resposta positiva em endpoints característicos do AEM Forms, como `/lc/libs/livecycle/core/content/login.html` e `/edcws/`, indicando presença do componente vulnerável acessível pela rede. Para tentativas de exploração propriamente ditas, procure por requisições HTTP a ações do Struts2 dentro do contexto do AEM Forms contendo parâmetros de depuração ou expressões OGNL (padrões como `%{` em parâmetros de requisição), especialmente originadas de IPs externos sem sessão autenticada prévia.

As fontes revisadas não detalham o endpoint ou parâmetro exato usado no exploit público desta CVE, então não há assinatura de detecção confirmada e específica disponível — trate qualquer tráfego anômalo dirigido às rotas do AEM Forms/Struts como suspeito até que o advisory ou análises adicionais especifiquem o indicador exato.