Référence du bulletin
Dernière mise à jour le
2 août 2023
Mises à jour de sécurité disponibles pour Adobe ColdFusion | APSB23-40
|
|
Date de publication |
Priorité |
|
APSB23-40 |
11 juillet 2023 |
1 |
Récapitulatif
Adobe a publié des mises à jour de sécurité pour ColdFusion versions 2023, 2021 et 2018. Ces mises à jour corrigent des vulnérabilités critiques et importantes susceptibles d’entraîner l’exécution de code arbitraire et un contournement de la fonction de sécurité..
Adobe est conscient que la vulnérabilité CVE-2023-29298 a été exploitée dans la nature lors d’attaques limitées ciblant des commerçants Adobe ColdFusion.
Versions concernées
|
Produit |
N° de mise à jour |
Plate-forme |
|
ColdFusion 2018 |
Mise à jour 16 et versions antérieures |
Toutes |
|
ColdFusion 2021 |
Mise à jour 6 et versions antérieures |
Toutes |
|
ColdFusion 2023 |
Version GA (2023.0.0.330468) |
Toutes |
Solution
Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :
|
Produit |
Mise à jour |
Plate-forme |
Priorité |
Disponibilité |
|---|---|---|---|---|
|
ColdFusion 2018 |
Mise à jour 17 |
Toutes |
1 |
|
|
ColdFusion 2021 |
Mise à jour 7 |
Toutes |
1 |
|
|
ColdFusion 2023 |
Mise à jour 1 |
Toutes |
1 |
Remarque :
Adobe recommande de mettre à jour votre environnement JDK/JRE ColdFusion avec la dernière version disponible. Consultez la matrice d’assistance ColdFusion pour connaître la version de JDK prise en charge
L’exécution de la mise à jour ColdFusion sans la mise à jour JDK correspondante NE sécurisera PAS le serveur. Voir les notes techniques dédiées pour plus de détails.
Adobe recommande également aux utilisateurs d’appliquer les paramètres de sécurité décrits sur la page de sécurité de ColdFusion et de consulter les guides de verrouillage de sécurité dédiés.
Détails concernant la vulnérabilité
|
Catégorie de la vulnérabilité |
Impact de la vulnérabilité |
Gravité |
Score de base CVSS |
Références CVE |
|
|
Contrôle d’accès incorrect (CWE-284) |
Contournement des fonctions de sécurité |
Critique |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-29298 |
|
Désérialisation de données non approuvées (CWE-502) |
Exécution de code arbitraire |
Critique |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-29300 |
|
Restriction inappropriée des tentatives d’authentification excessives (CWE-307) |
Contournement des fonctions de sécurité |
Importante |
5.9 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-29301 |
Remerciements
Adobe tient à remercier les personnes suivantes pour avoir signalé les problèmes concernés et joint leurs efforts aux nôtres afin de protéger nos clients :
- Stephen Fewer - CVE-2023-29298
- Nicolas Zilio (CrowdStrike) - CVE-2023-29300
- Brian Reilly - CVE-2023-29301
REMARQUE : Adobe dispose d’un programme privé de prime aux bogues, accessible sur invitation uniquement, avec HackerOne. Si vous souhaitez travailler avec Adobe en tant que chercheur en sécurité externe, remplissez ce formulaire pour les étapes suivantes.
Configuration requise pour le JDK de ColdFusion
COLDFUSION 2023 (version 2023.0.0.330468) et versions ultérieures
Pour les serveurs d’applications
Sur les installations JEE, définissez l’indicateur JVM suivant, « -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.** ; !org.jgroups.** », dans le fichier de démarrage respectif en fonction du type de serveur d’applications utilisé.
Par exemple :
Serveur d’application Apache Tomcat : modifier JAVA_OPTS dans le fichier « Catalina.bat/sh »
Serveur d’application WebLogic : modifier JAVA_OPTIONS dans le fichier « startWeblogic.cmd »
Serveur d’application WildFly/EAP : modifier JAVA_OPTS dans le fichier « standalone.conf »
Définissez les indicateurs JVM sur une installation de JEE pour ColdFusion, et non sur une configuration autonome.
COLDFUSION 2021 (version 2021.0.0.323925) et versions ultérieures
Pour les serveurs d’applications
Lors des installations de JEE, définissez l’indicateur JVM suivant : « -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.** ; !org.jgroups.** », dans le fichier de démarrage respectif en fonction du type de serveur d’applications utilisé.
Vous pouvez, par exemple:
Serveur d’applications Apache Tomcat : modifiez JAVA_OPTS dans le fichier « Catalina.bat/sh ».
Serveur d’applications WebLogic : modifiez JAVA_OPTIONS dans le fichier « startWeblogic.cmd ».
Serveur d’application WildFly/EAP : modifiez JAVA_OPTS dans le fichier « standalone.conf ».
Définissez les indicateurs JVM sur une installation de JEE pour ColdFusion, et non sur une configuration autonome.
COLDFUSION 2018 HF1 et versions ultérieures
Pour les serveurs d’applications
Lors des installations de JEE, définissez l’indicateur JVM suivant : « -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.** ; !org.jgroups.** », dans le fichier de démarrage respectif en fonction du type de serveur d’applications utilisé.
Vous pouvez, par exemple:
Serveur d’applications Apache Tomcat : modifiez JAVA_OPTS dans le fichier « Catalina.bat/sh ».
Serveur d’applications WebLogic : modifiez JAVA_OPTIONS dans le fichier « startWeblogic.cmd ».
Serveur d’application WildFly/EAP : modifiez JAVA_OPTS dans le fichier « standalone.conf ».
Définissez les indicateurs JVM sur une installation de JEE pour ColdFusion, et non sur une configuration autonome.
Révisions
19 juillet 2023
- Le paragraphe de résumé a été mis à jour pour indiquer qu’Adobe est conscient que la vulnérabilité CVE-2023-29298 a été exploitée dans la nature lors d’attaques limitées ciblant des commerçants Adobe ColdFusion.
Pour plus d’informations, consultez https://helpx.adobe.com/fr/security.html ou envoyez un e-mail à PSIRT@adobe.com
