Beveiligingsadviezen van Adobe

Beveiligingsupdates beschikbaar voor ColdFusion | APSB18-14

Bulletin-id

Publicatiedatum

Prioriteit

APSB18-14

10 april 2018

2

Samenvatting

Adobe heeft beveiligingshotfixes uitgebracht voor ColdFusion 11 en de 2016-versie. Deze updates verhelpen een belangrijk beveiligingsprobleem in het onveilig laden van de bibliotheek (CVE-2018-4938), een belangrijk beveiligingsprobleem voor XSS (cross-site-scripting) dat kan leiden tot code-injectie (CVE-2018-4940) en een belangrijk beveiligingsprobleem voor XSS (cross-site-scripting) dat kan leiden tot openbaarmaking van informatie (CVE-2018-4941). Deze updates omvatten ook een oplossing voor een kritiek beveiligingsprobleem in de onveilige Java-deserialisatie (CVE-2018-4939) en een oplossing voor een kritiek beveiligingsprobleem in onveilige XML-parsering (CVE -2018-4942).

Van toepassing op de volgende versies

Product

Van toepassing op de volgende versies

Platform

ColdFusion (versie 2016)

Update 5 en eerdere versies

Alles

ColdFusion 11

Update 13 en eerdere versies

Alles

Oplossing

Adobe heeft aan deze update de volgende prioriteit toegekend en raadt gebruikers aan hun installatie bij te werken naar de nieuwste versies:

Product

Bijgewerkte versie

Platform

Prioriteitsbeoordeling

Beschikbaarheid

ColdFusion (versie 2016)

Update 6

Alles

2

ColdFusion 11

Update 14

Alles

2

Opmerking:

De beveiligingsupdates waarnaar in de bovenstaande technische opmerkingen wordt verwezen, vereisen JDK 8u121 of hoger (voor ColdFusion 2016) en JDK 7u131 of JDK 8u121 (voor ColdFusion 11). Adobe raadt u aan om uw ColdFusion JDK/JRE bij te werken naar de nieuwste versie. Als u de ColdFusion-update zonder bijbehorende JDK-update toepast, is de server niet beveiligd. Raadpleeg voor meer informatie de relevante technische opmerkingen.

Klanten dienen ook de beveiligingsconfiguratie-instellingen toe te passen die worden aangegeven op de beveiligingspagina voor ColdFusion en de betreffende Lockdown Guides te raadplegen.

Details van kwetsbaarheid

Categorie van kwetsbaarheid

Impact van kwetsbaarheid

Ernst

CVE-nummers

Laden van onveilige bibliotheek

Escalatie van lokale bevoegdheid

Belangrijk

CVE-2018-4938

Deserialisatie van niet-vertrouwde gegevens

Externe code-uitvoering

Kritiek

CVE-2018-4939

XSS (Cross-Site Scripting)

Openbaarmaking van informatie

Belangrijk

CVE-2018-4940

XSS (Cross-Site Scripting)

Openbaarmaking van informatie

Belangrijk

CVE-2018-4941

Onveilige verwerking van externe entiteit in XML

Openbaarmaking van informatie

Kritiek

CVE-2018-4942

Dankbetuigingen

Adobe dankt de volgende personen en organisaties voor het melden van deze problemen en voor hun samenwerking met Adobe om onze klanten te helpen beschermen:

  • Nitesh Shilpkar (CVE-2018-4938)
  • Nick Bloor van NCC Group (CVE-2018-4939)
  • Jaaziel Sam Carlos (CVE-2018-4940)
  • William Eatman en Michael S. O'Dell van USRA (CVE-2018-4941)
  • Matthias Kaiser van Code White Gmbh (CVE-2018-4942)

Vereiste voor ColdFusion JDK

COLDFUSION 2016 HF6

Deze beveiligingsupdate vereist JDK 8u121 of hoger voor ColdFusion. Adobe raadt u aan om uw ColdFusion JDK/JRE bij te werken naar de nieuwste versie. Als u de ColdFusion-update zonder bijbehorende JDK-update toepast, is de server niet beveiligd.

Voor toepassingsservers

Stel daarnaast voor JEE-installaties de volgende JVM-markering in: “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**”, in het desbetreffende opstartbestand afhankelijk van het type toepassingsserver dat wordt gebruikt.

Bijvoorbeeld:

Bewerk op de Apache Tomcat-toepassingsserver JAVA_OPTS in het bestand “Catalina.bat/sh”

Bewerk op de WebLogic-toepassingsserver JAVA_OPTIONS in het bestand “startWeblogic.cmd”

Bewerk op een WildFly/EAP-toepassingsserver JAVA_OPTS in het bestand “standalone.conf”

Stel de JVM-markeringen in op een JEE-installatie van ColdFusion, niet op een zelfstandige installatie.

COLDFUSION 11 HF14

Deze beveiligingsupdate vereist JDK 7u131 of JDK 8u121 of hoger voor ColdFusion.

Adobe raadt u aan om uw ColdFusion JDK/JRE bij te werken naar de nieuwste versie. Als u de ColdFusion-update zonder bijbehorende JDK-update toepast, is de server niet beveiligd.

Voor toepassingsservers

Stel daarnaast voor J2EE-installaties de volgende JVM-markering in: “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**”, in het desbetreffende opstartbestand afhankelijk van het type toepassingsserver dat wordt gebruikt.

Bijvoorbeeld:

Bewerk op de Apache Tomcat-toepassingsserver JAVA_OPTS in het bestand “Catalina.bat/sh”

Bewerk op de WebLogic-toepassingsserver JAVA_OPTIONS in het bestand “startWeblogic.cmd”

Bewerk op een WildFly/EAP-toepassingsserver JAVA_OPTS in het bestand “standalone.conf”

Stel de JVM-markeringen in op een JEE-installatie van ColdFusion, niet op een zelfstandige installatie.

Verklaring van afstand van Adobe

Licentieovereenkomst

Door het gebruik van software van Adobe Systems Incorporated of haar dochterondernemingen ("Adobe"), stem je in met de volgende bepalingen en voorwaarden. Als je niet instemt met deze bepalingen en voorwaarden, gebruik je de software niet. De bepalingen van een licentieovereenkomst voor eindgebruikers die bij de installatie of download van een bepaald softwarebestand hoort, hebben prioriteit over de hieronder vermelde bepalingen.

De export en herexport van Adobe-softwareproducten wordt beheerst door de Export Administration-regelgeving van de Verenigde Staten en dergelijke software mag niet worden geëxporteerd of geherexporteerd naar Cuba; Iran; Irak; Libië; Noord-Korea; Soedan of Syrië of elk ander land waarvoor door de Verenigde Staten een embargo is ingesteld. Daarnaast mag Adobe-software niet worden gedistribueerd aan personen die in de Table of Denial Orders, de Entity List of de lijst Specially Designated Nationals zijn opgenomen.

Door een Adobe software-product te downloaden of te gebruiken, geef je te kennen dat je geen staatsburger bent van Cuba; Iran; Irak; Libië; Noord-Korea; Soedan of Syrië of van elk land waarvoor door de Verenigde Staten een embargo is ingesteld en dat je niet op de Table of Denial Orders, de Entity List of de lijst Specially Designated Nationals bent vermeld. Als de software bestemd is voor gebruik met een softwaretoepassing (de "hosttoepassing") die door Adobe is gepubliceerd, verleent Adobe je een niet-exclusieve licentie voor het exclusieve gebruik van dergelijke software met de Hosttoepassing; op voorwaarde dat je beschikt over een geldige licentie van Adobe voor de Hosttoepassing. Met uitzondering van wat hieronder is vermeld; wordt de software aan jou in licentie gegeven in overeenkomst met de bepalingen en voorwaarden van de licentieovereenkomst voor eindgebruikers van Adobe die heerst over je gebruik van de Hosttoepassing.

BEPERKING VAN GARANTIES: JE STEMT ERMEE IN DAT ADOBE JE GEEN UITDRUKKELIJKE GARANTIE HEEFT GEBODEN MET BETREKKING TOT DE SOFTWARE EN DAT DE SOFTWARE ONGEWIJZIGD ("AS IS") AAN JOU WORDT GELEVERD ZONDER ENIGE GARANTIE. ADOBE VERLEENT GEEN ENKELE GARANTIE MET BETREKKING TOT DE SOFTWARE; UITDRUKKELIJK NOCH IMPLICIET; MET INBEGRIP VAN, MAAR NIET BEPERKT TOT, ENIGE IMPLICIETE GARANTIE BETREFFENDE DE GESCHIKTHEID VOOR EEN BEPAALD DOEL; DE VERKOOPBAARHEID; DE VERKOOPWAARDE OF HET NIET-INBREUKMAKENDE KARAKTER VAN DE SOFTWARE. In sommige staten of rechtsgebieden is het uitsluiten van impliciete garanties niet toegestaan. Hierdoor is het mogelijk dat de hiervoor vermelde beperkingen niet op jou van toepassing zijn.

AANSPRAKELIJKHEIDSBEPERKING: ADOBE IS IN GEEN GEVAL AANSPRAKELIJK JEGENS JOU VOOR ENIGE VORM VAN VERLIES VAN GEBRUIK, BEDRIJFSONDERBREKINGEN, OF ENIGE ANDERE DIRECTE, INDIRECTE, SPECIALE, INCIDENTELE, OF GEVOLGSCHADE (MET INBEGRIP VAN WINSTDERVING) ONGEACHT DE VORM VAN DE RECHTSVORDERING, ONRECHTMATIG, NOCH CONTRACTUEEL (MET INBEGRIP VAN NALATIGHEID), RISICOAANSPRAKELIJKHEID OF ANDERSZINS; ZELFS INDIEN ADOBE OP DE HOOGTE IS GESTELD VAN DE MOGELIJKHEID VAN DERGELIJKE SCHADE. Aangezien in bepaalde staten of rechtsgebieden het uitsluiten of beperken van incidentele of gevolgschade niet is toegestaan, is het mogelijk dat deze beperking of uitsluiting niet op jou van toepassing is.

 Adobe

Krijg sneller en gemakkelijker hulp

Nieuwe gebruiker?

Adobe MAX 2024

Adobe MAX
De creativiteitsconferentie

14–16 oktober Miami Beach en online

Adobe MAX

De creativiteitsconferentie

14–16 oktober Miami Beach en online

Adobe MAX 2024

Adobe MAX
De creativiteitsconferentie

14–16 oktober Miami Beach en online

Adobe MAX

De creativiteitsconferentie

14–16 oktober Miami Beach en online