Boletín de seguridad de Adobe

Buscar

Última actualización el 26 dic. 2022

Actualizaciones de seguridad disponibles para Adobe ColdFusion | APSB22-44

ID del boletín	Fecha de publicación	Prioridad
APSB22-44	11 de octubre de 2022	3

Resumen

Adobe ha lanzado actualizaciones de seguridad para las versiones de 2021 y 2018 de ColdFusion. Estas actualizaciones resuelven vulnerabilidades críticas, importantes y moderadas  que podrían dar lugar a la ejecución arbitraria de código, la escritura arbitraria del sistema de archivos, la omisión de la función de seguridad y la ampliación de privilegios

  

Versiones afectadas

Producto	Número de actualización	Plataforma
ColdFusion 2018	Actualización 14 y versiones anteriores	Todas
ColdFusion 2021	Actualización 4 y versiones anteriores	Todas

Solución

Adobe categoriza estas actualizaciones de acuerdo a los siguientes niveles de prioridad y recomienda que los usuarios actualicen los programas a las versiones más recientes:

Producto	Versión actualizada	Plataforma	Nivel de prioridad	Disponibilidad
ColdFusion 2018	Actualización 15	Todas	3	Nota técnica
ColdFusion 2021	Actualización 5	Todas	3	Nota técnica

Nota:

Adobe recomienda actualizar ColdFusion JDK/JRE a la versión más reciente de LTS para y JDK 11. La actualización de ColdFusion sin la actualización de JDK correspondiente NO asegura el servidor. Consulte las notas técnicas relevantes para obtener más detalles.

Adobe también recomienda a sus clientes aplicar los ajustes de configuración de la página de seguridad de ColdFusion y consultar las guías de bloqueo correspondientes.   

Detalles sobre la vulnerabilidad

Categoría de vulnerabilidad	Impacto de la vulnerabilidad	Gravedad	Puntuación base CVSS	Vector CVSS	Números CVE
Desbordamiento de búfer basado en pila (CWE-121)	Ejecución de código arbitraria	Crítica	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35710
Desbordamiento de búfer basado en montón (CWE-122)	Ejecución de código arbitrario	Crítica	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35711
Desbordamiento de búfer basado en pila (CWE-121)	Ejecución de código arbitraria	Crítica	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35690
Desbordamiento de búfer basado en montón (CWE-122)	Ejecución de código arbitraria	Crítico	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35712
Limitación incorrecta de un nombre de ruta a un directorio restringido ('Travesía de ruta') (CWE-22)	Ejecución de código arbitraria	Crítico	8.1	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-38418
Restricción incorrecta de la referencia de entidades externas ('XXE') (CWE-611)	Lectura arbitraria del sistema de archivos	Importante	5.9	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2022-38419
Uso de credenciales codificadas (CWE-798)	Ampliación de privilegios	Importante	6.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H	CVE-2022-38420
Limitación incorrecta de un nombre de ruta a un directorio restringido ('Travesía de ruta') (CWE-22)	Ejecución de código arbitraria	Importante	6.6	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H	CVE-2022-38421
Exposición de información (CWE-200)	Omisión de la función de seguridad	Importante	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	CVE-2022-38422
Limitación incorrecta de un nombre de ruta a un directorio restringido ('Travesía de ruta') (CWE-22)	Omisión de la función de seguridad	Moderada	4.4	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N	CVE-2022-38423
Limitación incorrecta de un nombre de ruta a un directorio restringido ('Travesía de ruta') (CWE-22)	Escritura arbitraria del sistema de archivos	Crítica	7,2	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	CVE-2022-38424
Validación incorrecta de la entrada (CWE-20)	Lectura arbitraria del sistema de archivos	Importante	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2022-42340
Restricción incorrecta de la referencia de entidades externas ('XXE') (CWE-611)	Lectura arbitraria del sistema de archivos	Importante	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2022-42341

Reconocimientos

Adobe desea dar las gracias a las siguientes personas y entidades por informar sobre problemas importantes y colaborar con Adobe para ayudarnos a proteger a nuestros clientes:

rgod en colaboración con Zero Day Initiative de Trend Micro - CVE-2022-35710, CVE-2022-35711, CVE-2022-35690, CVE-2022-35712, CVE-2022-38418, CVE-2022-38419, CVE-2022-38420, CVE-2022-38421, CVE-2022-38422, CVE-2022-38423, CVE-2022-38424
reillyb - CVE-2022-42340, CVE-2022-42341

Requisito de JDK de ColdFusion

COLDFUSION 2021 (versión 2021.0.0.323925) y posteriores

Para servidores de aplicaciones  

En instalaciones de JEE, debe establecer la siguiente marca de JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", en el archivo de inicio correspondiente en función del tipo de servidor de aplicaciones que esté utilizando.

Por ejemplo:  

Servidor de aplicaciones Apache Tomcat: edite JAVA_OPTS en el archivo ‘Catalina.bat/sh’

Servidor de aplicaciones WebLogic: edite JAVA_OPTIONS en el archivo ‘startWeblogic.cmd’

Servidor de aplicaciones WildFly/EAP: edite JAVA_OPTS en el archivo ‘standalone.conf’

Establezca las marcas de JVM en la instalación de JEE de ColdFusion, no en una instalación independiente.  

COLDFUSION 2018 HF1 y versiones posteriores  