Beveiligingsadvies van Adobe

Beveiligingsupdates beschikbaar voor Adobe ColdFusion | APSB22-22

Bulletin-id

Publicatiedatum

Prioriteit

APSB22-22

10 mei 2022

3

Samenvatting

Adobe heeft beveiligingsupdates uitgebracht voor ColdFusion 2021 en 2018. Deze updates verhelpen een belangrijke  kwetsbaarheid die kan leiden tot de uitvoering van willekeurige code.
   

Van toepassing op de volgende versies

Product

Nummer update

Platform

ColdFusion 2018

Update 13 en eerdere versies    

Alles

ColdFusion 2021

Versie 3 en eerdere versies

Alles

Oplossing

Adobe heeft aan deze updates de onderstaande prioriteit toegekend en raadt gebruikers aan hun installaties bij te werken naar de meest recente versies:

Product

Bijgewerkte versie

Platform

Prioriteitsbeoordeling

Beschikbaarheid

ColdFusion 2018

Update 14

Alles

3

ColdFusion 2021

Update 4

Alles

3

Opmerking:

Adobe raadt u aan uw ColdFusion JDK/JRE te updaten naar de nieuwste versie van de LTS-releases voor 1.8 en JDK 11. Als u de ColdFusion-update zonder bijbehorende JDK-update toepast, is de server niet beveiligd.  Zie de relevante technische opmerkingen voor meer informatie. 

Adobe raadt klanten ook aan om de instellingen van de beveiligingsconfiguratie toe te passen, zoals beschreven op de beveiligingspagina van ColdFusion, en om de bijbehorende handleidingen voor lockdown te bekijken. 

Details van kwetsbaarheid

Categorie van kwetsbaarheid

Impact van kwetsbaarheid

Ernst

CVSS-basisscore 

CVE-nummers

Cross-site Scripting (gereflecteerde XSS) (CWE-79)

Uitvoering van willekeurige code

Belangrijk 

5.4

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

CVE-2022-28818

Dankbetuigingen

Adobe bedankt de volgende personen voor het melden van deze problemen en voor de samenwerking met Adobe om onze klanten te helpen beschermen:

  • UB3RSiCK (ub3rsick) - CVE-2022-28818

Vereiste voor ColdFusion JDK

COLDFUSION 2021 (Versie 2021.0.0.323925) en hoger

Voor toepassingsservers   

Stel de volgende JVM-markering in op JEE-installaties: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", in het respectievelijke opstartbestand afhankelijk van het gebruikte type toepassingsserver. 

Bijvoorbeeld:   

Toepassingsserver van Apache Tomcat: bewerk JAVA_OPTS in het bestand 'Catalina.bat/sh'   

Toepassingsserver van WebLogic: bewerk JAVA_OPTIONS in het bestand 'startWeblogic.cmd'   

Toepassingsserver van WildFly/EAP: bewerk JAVA_OPTS in het bestand 'standalone.conf'   

Stel de JVM-markeringen in op een JEE-installatie van ColdFusion, niet op een zelfstandige installatie.   

 

COLDFUSION 2018 HF1 en hoger  

Voor toepassingsservers   

Stel de volgende JVM-markering in op JEE-installaties: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", in het respectievelijke opstartbestand afhankelijk van het gebruikte type toepassingsserver. 

Bijvoorbeeld:   

Toepassingsserver van Apache Tomcat: bewerk JAVA_OPTS in het bestand 'Catalina.bat/sh'   

Toepassingsserver van WebLogic: bewerk JAVA_OPTIONS in het bestand 'startWeblogic.cmd'   

Toepassingsserver van WildFly/EAP: bewerk JAVA_OPTS in het bestand 'standalone.conf'   

Stel de JVM-markeringen in op een JEE-installatie van ColdFusion, niet op een zelfstandige installatie.   

 


Ga voor meer informatie naar https://helpx.adobe.com/nl/security.html of stuur een e-mail naar PSIRT@adobe.com 

 Adobe

Krijg sneller en gemakkelijker hulp

Nieuwe gebruiker?

Adobe MAX 2024

Adobe MAX
De creativiteitsconferentie

14–16 oktober Miami Beach en online

Adobe MAX

De creativiteitsconferentie

14–16 oktober Miami Beach en online

Adobe MAX 2024

Adobe MAX
De creativiteitsconferentie

14–16 oktober Miami Beach en online

Adobe MAX

De creativiteitsconferentie

14–16 oktober Miami Beach en online