Adobe-Sicherheitsbulletin

Sicherheits-Updates für Adobe ColdFusion verfügbar | APSB21-16

Bulletin-ID

Veröffentlichungsdatum

Priorität

APSB21-16

22. März 2021

2

Zusammenfassung

Adobe hat Sicherheits-Updates für ColdFusion, Version 2021, 2016 und 2018, veröffentlicht. Diese Updates schließen eine Sicherheitslücke, die als Mittel eingestuft wird und die willkürliche Ausführung von Code ermöglichen könnte.  

Betroffene Versionen

Produkt

Updatenummer

Plattform

ColdFusion 2016

Update 16 und ältere Versionen

Alle

ColdFusion 2018

Update 10 und ältere Versionen    

Alle

ColdFusion 2021

Version 2021.0.0.323925

Alle

Lösung

Adobe stuft die Priorität dieser Updates wie nachstehend ein und empfiehlt die Installation allen Anwendern:

Produkt

Aktualisierte Version

Plattform

Priorität

Verfügbarkeit

ColdFusion 2016

Update 17

Alle

2

ColdFusion 2018

Update 11

Alle

2

ColdFusion 2021

Update 1

Alle

2

Hinweis:

Adobe empfiehlt, Ihr ColdFusion-JDK/JRE auf die neueste Version der LTS-Versionen für 1.8 und JDK 11 zu aktualisieren. Wenn das ColdFusion-Update ohne das entsprechende JDK-Update angewendet wird, wird der Server NICHT geschützt.  Weitere Einzelheiten finden Sie in den technischen Hinweisen. 

Adobe empfiehlt zudem, dass Anwender die Sicherheitskonfigurationseinstellungen verwenden, die in der ColdFusion-Hilfe beschrieben sind, und die Informationen in den jeweiligen Lockdown Guides beachten.    

Sicherheitslückendetails

Sicherheitslückenkategorie

Sicherheitslückenauswirkung

Problemstufe

CVE-Nummern

Cross-Site-Scripting

Willkürliche Ausführung von Code        

Mittel

CVE-2021-21087

Danksagung

Adobe bedankt sich bei Josh Lane für das Melden dieser Schwachstellen und den Beitrag zum Schutz der Sicherheit unserer Kunden. 

ColdFusion JDK-Anforderung

ColdFusion 2021 (Version 2021.0.0.323925) und höher

Für Anwendungsserver   

Setzen Sie in JEE-Installationen das JVM-Flag "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**" in der Startdatei des verwendeten Anwendungsservers. 

Beispiel:   

Apache Tomcat Application Server: Bearbeiten Sie JAVA_OPTS in der Datei „Catalina.bat/sh“   

WebLogic Application Server:  Bearbeiten Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“   

WildFly/EAP Application Server:  Bearbeiten Sie die JAVA_OPTS in der Datei „standalone.conf“   

Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.   

 

COLDFUSION 2018 HF1 und höher  

Für Anwendungsserver   

Setzen Sie in JEE-Installationen das JVM-Flag "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**" in der Startdatei des verwendeten Anwendungsservers. 

Beispiel:   

Apache Tomcat Application Server: Bearbeiten Sie JAVA_OPTS in der Datei „Catalina.bat/sh“   

WebLogic Application Server:  Bearbeiten Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“   

WildFly/EAP Application Server:  Bearbeiten Sie die JAVA_OPTS in der Datei „standalone.conf“   

Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.   

 

COLDFUSION 2016 HF7 und höher

Dieses Sicherheits-Update erfordert für ColdFusion JDK 8u121 oder höher. Adobe empfiehlt, ein manuelles Update von ColdFusion JDK/JRE auf die aktuelle Version vorzunehmen. Wenn Sie kein Update von JDK/JRE vornehmen, ist der Server durch einfaches Anwenden des Updates NICHT sicher.

Für Anwendungsserver

Setzen Sie in JEE-Installationen zusätzlich das JVM-Flag "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**" in der Startdatei des verwendeten Anwendungsservers. 

Beispiel:         

Bearbeiten Sie auf einem Apache Tomcat Application ServerJAVA_OPTS in der Datei „Catalina.bat/sh“         

Bearbeiten Sie auf einem WebLogic Application Server JAVA_OPTIONS in der Datei „startWeblogic.cmd“         

Bearbeiten Sie auf einem WildFly/EAP Application Server JAVA_OPTS in der Datei „standalone.conf“ 

Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation

Adobe-Haftungsausschluss

Lizenzvereinbarung

Durch die Nutzung der Software von Adobe Incorporated oder seiner Tochtergesellschaften („Adobe“) erklären Sie sich mit den im Folgenden genannten Nutzungsbedingungen einverstanden. Setzen Sie die Software nicht ein, wenn Sie die Vertragsbedingungen nicht akzeptieren. Falls beim Download oder der Installation einer Programmdatei eine Lizenzvereinbarung für Endanwender mitgeliefert wurde, ersetzt diese die nachfolgend aufgeführten Nutzungsbedingungen.

Die Ausfuhr und Wiederausfuhr von Adobe-Software-Produkten unterliegen den United States Export Administration Regulations (Exportbestimmungen der Vereinigten Staaten). Die Software darf nicht in die folgenden Länder ausgeführt oder wiederausgeführt werden: Kuba, Iran, Nordkorea, Syrien und die Krim-Region der Ukraine oder ein anderes Land, für das ein Handelsembargo der Vereinigten Staaten besteht. Darüber hinaus darf Adobe-Software nicht an Personen weitergegeben werden, die in folgenden Dokumenten geführt werden: Table of Denial Orders, Entity List, List of Specially Designated Nationals. 

Wenn Sie ein Adobe-Software-Produkt herunterladen, erklären Sie damit, dass Sie kein Staatsangehöriger eines der folgenden Länder sind: Kuba, Iran, Nordkorea, Syrien und der Krim-Region der Ukraine oder eines anderen Landes, für das ein Handelsembargo der Vereinigten Staaten besteht. Sie erklären außerdem, dass Ihr Name nicht in den folgenden Dokumenten geführt wird: Table of Denial Orders, Entity List, List of Specially Designated Nationals. Wenn die Software zum gemeinsamen Einsatz mit einer Software-Anwendung („Host-Anwendung“) von Adobe konzipiert wurde, gewährt Ihnen Adobe eine nicht-exklusive Lizenz zur ausschließlichen Verwendung der Software gemeinsam mit der Host-Anwendung, vorausgesetzt, Sie besitzen eine gültige Lizenz von Adobe für die Host-Anwendung. Mit Ausnahme der im Folgenden genannten Fälle unterliegt die Lizenzierung dieser Software den Bedingungen der Adobe-Lizenzvereinbarung für Endanwender, die die Nutzung der Host-Anwendung regelt.

HAFTUNGSSAUSSCHLUSS: SIE BESTÄTIGEN, DASS ADOBE IHNEN HINSICHTLICH DER SOFTWARE KEINE SPEZIELLE ZUSICHERUNG GEMACHT HAT UND DIE SOFTWARE IHNEN IM VORLIEGENDEN ZUSTAND ZUR VERFÜGUNG GESTELLT WIRD. ADOBE SCHLIESST JEGLICHE GARANTIEGEWÄHRLEISTUNG IHNEN GEGENÜBER AUS. ADOBE GEWÄHRT KEINE GARANTIEN, WEDER AUSDRÜCKLICHER NOCH STILLSCHWEIGENDER NATUR, HINSICHTLICH MARKTGÄNGIGKEIT, BRAUCHBARKEIT FÜR EINEN BESTIMMTEN ZWECK, MARKTÜBLICHER QUALITÄT ODER NICHTVERLETZUNG VON VERTRÄGEN MIT DRITTEN. Da in einigen Staaten oder Gerichtsbarkeiten ein Haftungsausschluss für stillschweigende Gewährleistungen nicht zulässig ist, treffen die oben genannten Einschränkungen unter Umständen nicht auf Sie zu.

HAFTUNGSBESCHRÄNKUNG: ADOBE ÜBERNIMMT KEINE HAFTUNG FÜR NICHTEINSETZBARKEIT, DIE UNTERBRECHUNG DER GESCHÄFTSTÄTIGKEIT ODER ANDERE VERLUSTE JEGLICHER ART INFOLGE VON DIREKTEN, INDIREKTEN, ZUFÄLLIGEN ODER BESONDEREN FOLGESCHÄDEN (EINSCHLIESSLICH ENTGANGENER GEWINNE), UNABHÄNGIG DAVON, WELCHE AKTIONEN GETÄTIGT WURDEN UND OB ES SICH UM EINE VERTRAGS- UND LIZENZGEMÄSSE ODER UNERLAUBTE NUTZUNG (EINSCHLIESSLICH FAHRLÄSSIGKEIT) HANDELTE, SELBST WENN ADOBE AUF DIE MÖGLICHKEIT SOLCHER SCHÄDEN HINGEWIESEN WURDE. Da in einigen Staaten oder Gerichtsbarkeiten ein Haftungsausschluss oder eine Haftungsbeschränkung für zufällige oder Folgeschäden nicht zulässig ist, treffen die oben genannten Einschränkungen unter Umständen nicht auf Sie zu.

Überarbeitungen

26. März 2021: Aktualisierte Einstufung des Schweregrads für CVE-2021-21087.

13. April 2021: Die Schwachstellenkategorie wurde auf „Cross-Site-Scripting“ aktualisiert.



 Adobe

Schneller und einfacher Hilfe erhalten

Neuer Benutzer?