Référence du bulletin
Dernière mise à jour le
19 mai 2022
Mises à jour de sécurité disponibles pour Adobe ColdFusion | APSB22-22
|
|
Date de publication |
Priorité |
|
APSB22-22 |
10 mai 2022 |
3 |
Récapitulatif
Adobe a publié des mises à jour de sécurité pour ColdFusion versions 2021 et 2018. Ces mises à jour résolvent une vulnérabilité importante susceptible d’entraîner l’exécution de code arbitraire.
Versions concernées
|
Produit |
N° de mise à jour |
Plate-forme |
|
ColdFusion 2018 |
Mise à jour 13 et versions antérieures |
Toutes |
|
ColdFusion 2021 |
Version 3 et versions antérieures |
Toutes |
Solution
Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :
|
Produit |
Mise à jour |
Plate-forme |
Priorité |
Disponibilité |
|---|---|---|---|---|
|
ColdFusion 2018 |
Mise à jour 14 |
Toutes |
3 |
|
|
ColdFusion 2021 |
Mise à jour 4 |
Toutes |
3 |
Remarque :
Adobe recommande d’actualiser votre environnement JDK/JRE ColdFusion avec les dernières versions LTS pour 1.8 et JDK 11. L’installation de la mise à jour de ColdFusion sans utiliser la mise à jour du JDK correspondante NE permettra PAS de sécuriser le serveur. Voir les notes techniques dédiées pour plus de détails.
Adobe recommande également aux utilisateurs d’appliquer les paramètres de sécurité décrits sur la page de sécurité de ColdFusion et de consulter les guides de verrouillage de sécurité dédiés.
Détails concernant la vulnérabilité
|
Catégorie de la vulnérabilité |
Impact de la vulnérabilité |
Gravité |
Score de base CVSS |
Références CVE |
|
|
Cross-site scripting (XSS réfléchi) (CWE-79) |
Exécution de code arbitraire |
Important |
5.4 |
CVSS: 3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
CVE-2022-28818 |
Remerciements
Adobe tient à remercier les personnes suivantes pour avoir signalé les problèmes concernés et joint leurs efforts aux nôtres pour protéger nos clients :
- UB3RSiCK (ub3rsick) - CVE-2022-28818
Configuration requise pour le JDK de ColdFusion
COLDFUSION 2021 (version 2021.0.0.323925) et versions ultérieures
Pour les serveurs d’applications
Lors des installations de JEE, définissez l’indicateur JVM suivant : « -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.** », dans le fichier de démarrage respectif en fonction du type de serveur d’applications utilisé.
Vous pouvez, par exemple:
Serveur d’applications Apache Tomcat : modifiez JAVA_OPTS dans le fichier « Catalina.bat/sh ».
Serveur d’applications WebLogic : modifiez JAVA_OPTIONS dans le fichier « startWeblogic.cmd ».
Serveur d’application WildFly/EAP : modifiez JAVA_OPTS dans le fichier « standalone.conf ».
Définissez les indicateurs JVM sur une installation de JEE pour ColdFusion, et non sur une configuration autonome.
COLDFUSION 2018 HF1 et versions ultérieures
Pour les serveurs d’applications
Lors des installations de JEE, définissez l’indicateur JVM suivant : « -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.** », dans le fichier de démarrage respectif en fonction du type de serveur d’applications utilisé.
Vous pouvez, par exemple:
Serveur d’applications Apache Tomcat : modifiez JAVA_OPTS dans le fichier « Catalina.bat/sh ».
Serveur d’applications WebLogic : modifiez JAVA_OPTIONS dans le fichier « startWeblogic.cmd ».
Serveur d’application WildFly/EAP : modifiez JAVA_OPTS dans le fichier « standalone.conf ».
Définissez les indicateurs JVM sur une installation de JEE pour ColdFusion, et non sur une configuration autonome.
Pour plus d’informations, consultez https://helpx.adobe.com/fr/security.html ou envoyez un e-mail à PSIRT@adobe.com
Adobe
Recevez de l’aide plus rapidement et plus facilement
Nouvel utilisateur ?
Adobe MAX
La conférence sur la créativité
Du 14 au 16 octobre à Miami Beach et en ligne
Adobe MAX
La conférence sur la créativité
Du 14 au 16 octobre à Miami Beach et en ligne