Adobe-Sicherheitsbulletin

Suchen

Zuletzt aktualisiert am 2. August 2023

Sicherheits-Updates für Adobe ColdFusion verfügbar | APSB23-41

Bulletin-ID	Veröffentlichungsdatum	Priorität
APSB23-41	14. Juli 2023	1

Zusammenfassung

Adobe hat Sicherheits-Updates für ColdFusion, Version 2023, 2021 und 2018, veröffentlicht. Diese Updates schließen eine kritische Sicherheitslücke, die die willkürliche Ausführung von Code ermöglichen könnten.

Adobe ist bekannt, dass für CVE-2023-38203 ein Proof-of-Concept-Blog veröffentlicht wurde.

Betroffene Versionen

Produkt	Updatenummer	Plattform
ColdFusion 2018	Update 17 und ältere Versionen	Alle
ColdFusion 2021	Update 7 und ältere Versionen	Alle
ColdFusion 2023	Update 1 und ältere Versionen	Alle

Lösung

Adobe stuft die Priorität dieser Updates wie nachstehend ein und empfiehlt die Installation allen Anwendern:

Produkt	Aktualisierte Version	Plattform	Priorität	Verfügbarkeit
ColdFusion 2018	Update 18	Alle	1	Technischer Hinweis
ColdFusion 2021	Update 8	Alle	1	Technischer Hinweis
ColdFusion 2023	Update 2	Alle	1	Technischer Hinweis

Hinweis:

Wenn Sie in Zukunft Kenntnis von einem Paket mit einer Deserialisierungslücke erhalten, verwenden Sie die Datei serialfilter.txt in <cfhome>/lib, um das Paket zu verweigern (z. B.: !org.jroup.**;)

Sicherheitslückendetails

Sicherheitslückenkategorie	Sicherheitslückenauswirkung	Problemstufe	CVSS-Basispunktzahl	CVSS-Vektor	CVE-Nummern
Deserialisierung nicht vertrauenswürdiger Daten (CWE-502)	Willkürliche Ausführung von Code	Kritisch	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2023-38203

Danksagung:

Adobe bedankt sich bei den folgenden Forschern für das Melden dieser Schwachstellen und für die Zusammenarbeit mit Adobe zum Schutz der Sicherheit unserer Kunden:    

Rahul Maini, Harsh Jaiswal @ ProjectDiscovery Research - CVE-2023-38203
MoonBack (ipplus360) - CVE-2023-38203

HINWEIS: Adobe hat ein privates, nur für Einladungen bestimmtes Bug-Bounty-Programm mit HackerOne. Wenn Sie an einer Zusammenarbeit mit Adobe als externer Sicherheitsforscher interessiert sind, füllen Sie bitte dieses Formular aus, um die nächsten Schritte einzuleiten.

Danksagung

Adobe bedankt sich bei den folgenden Forschern für das Melden dieser Schwachstellen und für die Zusammenarbeit mit Adobe zum Schutz der Sicherheit unserer Kunden:    

Yonghui Han of Fortinet’s FortiGuard Labs - CVE-2023-29308, CVE-2023-29309, CVE-2023-29310, CVE-2023-29311, CVE-2023-29312, CVE-2023-29313, CVE-2023-29314, CVE-2023-29315, CVE-2023-29316, CVE-2023-29317, CVE-2023-29318, CVE-2023-29319

Hinweis:

Adobe empfiehlt, Ihre ColdFusion JDK/JRE LTS-Version auf die neueste Update-Version zu aktualisieren. Sehen Sie in der unten stehenden ColdFusion-Support-Matrix nach, welche JDK-Version von Ihnen unterstützt wird.

ColdFusion – Unterstützungsübersicht:

CF2018: https://helpx.adobe.com/pdf/coldfusion2018-support-matrix.pdf

CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf

CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf

Wenn das ColdFusion-Update ohne das entsprechende JDK-Update angewendet wird, wird der Server NICHT geschützt. Weitere Einzelheiten finden Sie in den technischen Hinweisen.

Adobe empfiehlt zudem, dass Anwender die Sicherheitskonfigurationseinstellungen verwenden, die in der ColdFusion-Hilfe beschrieben sind, und die Informationen in den jeweiligen Lockdown Guides beachten.   

ColdFusion JDK-Anforderung

ColdFusion 2023 (Version 2023.0.0.330468) und höher
Für Anwendungsserver

Bei JEE-Installationen das folgende JVM-Flag festlegen: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" in der Startdatei des verwendeten Anwendungsservers.

Beispiel:
Apache Tomcat Anwendungsserver: editieren Sie JAVA_OPTS in der Datei „Catalina.bat/sh“
WebLogic Anwendungsserver: editieren Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“
WildFly/EAP Anwendungsserver: editieren Sie JAVA_OPTS in der Datei „standalone.conf“
Setzen Sie die JVM-Flags bei einer JEE-Installation von ColdFusion, nicht bei einer Standalone-Installation.

COLDFUSION 2021 (Version 2021.0.0.323925) und höher

Für Anwendungsserver  

Setzen Sie in JEE-Installationen das JVM-Flag “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"

in der Startdatei des verwendeten Anwendungsservers.

Beispiel:  

Apache Tomcat Anwendungsserver: Bearbeiten Sie JAVA_OPTS in der Datei „Catalina.bat/sh“  

WebLogic Anwendungsserver:  Bearbeiten Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“  

WildFly/EAP Anwendungsserver:  Bearbeiten Sie die JAVA_OPTS in der Datei „standalone.conf“  

Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.  

COLDFUSION 2018 HF1 und höher  