某些 Creative Cloud 应用程序、服务和功能在中国不可用。
Adobe hat Sicherheits-Updates für ColdFusion Version 11 und 2016 veröffentlicht. Diese Updates schließen eine wichtige Schwachstelle beim Laden der Bibliothek (CVE-2018-4938), eine als wichtig eingestufte Cross-Site-Scripting-Schwachstelle, die zum Einschleusen von Code führen kann (CVE-2018-4940), und eine als wichtig eingestufte Cross-Site-Scripting-Schwachstelle, die zur Offenlegung von Informationen führen kann (CVE-2018-4941). Diese Updates enthalten außerdem eine Abschwächung für eine kritische Java-Deserialisierungsschwachstelle (CVE-2018-4939) und eine Abschwächung für eine kritische Schwachstelle beim XML-Parsing (CVE-2018-4942).
| Produkt | Betroffene Versionen | Plattform |
|---|---|---|
| ColdFusion (Version 2016) | Update 5 und ältere Versionen | Alle |
| ColdFusion 11 | Update 13 und ältere Versionen | Alle |
Adobe bewertet die Priorität dieses Updates wie folgt und empfiehlt allen Anwendern ein Update auf die aktuelle Version:
| Produkt | Aktualisierte Version | Plattform | Priorität | Verfügbarkeit |
|---|---|---|---|---|
| ColdFusion (Version 2016) | Update 6 | Alle | 2 | Technischer Hinweis |
| ColdFusion 11 | Update 14 | Alle |
2 | Technischer Hinweis |
Hinweis:
Die in den obigen technischen Hinweisen beschriebenen Sicherheits-Updates erfordern JDK 8u121 oder höher (für ColdFusion 2016) und JDK 7u131 oder JDK 8u121 (für ColdFusion 11). Adobe empfiehlt eine Aktualisierung von ColdFusion JDK/JRE auf die neueste Version. Wenn das ColdFusion-Update ohne das entsprechende JDK-Update angewendet wird, wird der Server NICHT geschützt. Weitere Einzelheiten finden Sie in den technischen Hinweisen.
Anwender sollten außerdem die Sicherheitskonfigurationseinstellungen verwenden, die in der ColdFusion-Hilfe beschrieben sind, sowie die Informationen in den jeweiligen Lockdown Guides beachten.
| Sicherheitslückenkategorie | Sicherheitslückenauswirkung | Problemstufe | CVE-Nummern |
|---|---|---|---|
| Laden unsicherer Bibliotheken | Sicherheitslücke bei lokalen Zugriffsrechten | Wichtig | CVE-2018-4938 |
| Deserialisierung nicht vertrauenswürdiger Daten | Ausführung von externem Code | Kritisch | CVE-2018-4939 |
| Cross-Site-Scripting | Offenlegung von Informationen | Wichtig | CVE-2018-4940 |
| Cross-Site-Scripting | Offenlegung von Informationen | Wichtig | CVE-2018-4941 |
| Unsichere XML External Entity-Verarbeitung | Offenlegung von Informationen | Kritisch | CVE-2018-4942 |
Adobe bedankt sich bei den folgenden Personen und Organisationen für das Melden dieser Schwachstelle und den Beitrag zum Schutz der Sicherheit unserer Kunden:
- Nitesh Shilpkar (CVE-2018-4938)
- Nick Bloor von NCC Group (CVE-2018-4939)
- Jaaziel Sam Carlos (CVE-2018-4940)
- William Eatman und Michael S. O'Dell von der USRA (CVE-2018-4941)
- Matthias Kaiser von der Code White GmbH (CVE-2018-4942)
COLDFUSION 2016 HF6
Dieses Sicherheits-Update erfordert für ColdFusion JDK 8u121 oder höher. Adobe empfiehlt eine Aktualisierung von ColdFusion JDK/JRE auf die neueste Version. Wenn das ColdFusion-Update ohne das entsprechende JDK-Update angewendet wird, wird der Server NICHT geschützt.
Für Anwendungsserver
Setzen Sie in JEE-Installationen zusätzlich das JVM-Flag "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**" in der Startdatei des verwendeten Anwendungsservers.
Beispiel:
Bearbeiten Sie auf einem Apache Tomcat Application Server die JAVA_OPTS in der Datei "Catalina.bat/sh"
Bearbeiten Sie auf einem WebLogic Application Server die JAVA_OPTIONS in der Datei "startWeblogic.cmd"
Bearbeiten Sie auf einem WildFly/EAP Application Server die JAVA_OPTS in der Datei "standalone.conf"
Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.
COLDFUSION 11 HF14
Dieses Sicherheits-Update erfordert für ColdFusion JDK 7u131 oder JDK 8u121 oder höher.
Adobe empfiehlt eine Aktualisierung von ColdFusion JDK/JRE auf die neueste Version. Wenn das ColdFusion-Update ohne das entsprechende JDK-Update angewendet wird, wird der Server NICHT geschützt.
Für Anwendungsserver
Setzen Sie in J2EE-Installationen zusätzlich das JVM-Flag "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**" in der Startdatei des verwendeten Anwendungsservers.
Beispiel:
Bearbeiten Sie auf einem Apache Tomcat Application Server die JAVA_OPTS in der Datei "Catalina.bat/sh"
Bearbeiten Sie auf einem WebLogic Application Server die JAVA_OPTIONS in der Datei "startWeblogic.cmd"
Bearbeiten Sie auf einem WildFly/EAP Application Server die JAVA_OPTS in der Datei "standalone.conf"
Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.
Lizenzvereinbarung
Durch die Nutzung der Software von Adobe Systems Incorporated oder seiner Tochtergesellschaften („Adobe“) erklären Sie sich mit den im Folgenden genannten Nutzungsbedingungen einverstanden. Setzen Sie die Software nicht ein, wenn Sie die Vertragsbedingungen nicht akzeptieren. Falls beim Download oder der Installation einer Programmdatei eine Lizenzvereinbarung für Endanwender mitgeliefert wurde, ersetzt diese die nachfolgend aufgeführten Nutzungsbedingungen.
Die Ausfuhr und Wiederausfuhr von Adobe-Software-Produkten unterliegen den United States Export Administration Regulations (Exportbestimmungen der Vereinigten Staaten). Die Software darf nicht in die folgenden Länder ausgeführt oder wiederausgeführt werden: Kuba, Iran, Irak, Libyen, Nordkorea, Sudan, Syrien oder ein anderes Land, für das ein Handelsembargo der Vereinigten Staaten besteht. Darüber hinaus darf Adobe-Software nicht an Personen weitergegeben werden, die in folgenden Dokumenten geführt werden: Table of Denial Orders, Entity List, List of Specially Designated Nationals.
Wenn Sie ein Adobe-Software-Produkt herunterladen, erklären Sie damit, dass Sie kein Staatsangehöriger eines der folgenden Länder sind: Kuba, Iran, Irak, Libyen, Nordkorea, Sudan, Syrien oder ein anderes Land, für das ein Handelsembargo der Vereinigten Staaten besteht. Sie erklären außerdem, dass Ihr Name nicht in den folgenden Dokumenten geführt wird: Table of Denial Orders, Entity List, List of Specially Designated Nationals. Wenn die Software zum gemeinsamen Einsatz mit einer Software-Anwendung („Host-Anwendung“) von Adobe konzipiert wurde, gewährt Ihnen Adobe eine nicht-exklusive Lizenz zur ausschließlichen Verwendung der Software gemeinsam mit der Host-Anwendung, vorausgesetzt, Sie besitzen eine gültige Lizenz von Adobe für die Host-Anwendung. Mit Ausnahme der im Folgenden genannten Fälle unterliegt die Lizenzierung dieser Software den Bedingungen der Adobe-Lizenzvereinbarung für Endanwender, die die Nutzung der Host-Anwendung regelt.
HAFTUNGSSAUSSCHLUSS: SIE BESTÄTIGEN, DASS ADOBE IHNEN HINSICHTLICH DER SOFTWARE KEINE SPEZIELLE ZUSICHERUNG GEMACHT HAT UND DIE SOFTWARE IHNEN IM VORLIEGENDEN ZUSTAND ZUR VERFÜGUNG GESTELLT WIRD. ADOBE SCHLIESST JEGLICHE GARANTIEGEWÄHRLEISTUNG IHNEN GEGENÜBER AUS. ADOBE GEWÄHRT KEINE GARANTIEN, WEDER AUSDRÜCKLICHER NOCH STILLSCHWEIGENDER NATUR, HINSICHTLICH MARKTGÄNGIGKEIT, BRAUCHBARKEIT FÜR EINEN BESTIMMTEN ZWECK, MARKTÜBLICHER QUALITÄT ODER NICHTVERLETZUNG VON VERTRÄGEN MIT DRITTEN. Da in einigen Staaten oder Gerichtsbarkeiten ein Haftungsausschluss für stillschweigende Gewährleistungen nicht zulässig ist, treffen die oben genannten Einschränkungen unter Umständen nicht auf Sie zu.
HAFTUNGSBESCHRÄNKUNG: ADOBE ÜBERNIMMT KEINE HAFTUNG FÜR NICHT-EINSETZBARKEIT, DIE UNTERBRECHUNG DER GESCHÄFTSTÄTIGKEIT ODER ANDERE VERLUSTE JEGLICHER ART INFOLGE VON DIREKTEN, INDIREKTEN, ZUFÄLLIGEN ODER BESONDEREN FOLGESCHÄDEN (EINSCHLIESSLICH ENTGANGENER GEWINNE), UNABHÄNGIG DAVON, WELCHE AKTIONEN GETÄTIGT WURDE UND OB ES SICH UM EINE VERTRAGS- UND LIZENZGEMÄSSE ODER UM UNERLAUBTE NUTZUNG (EINSCHLIESSLICH FAHRLÄSSIGKEIT) HANDELTE, SELBST WENN ADOBE AUF DIE MÖGLICHKEIT SOLCHER SCHÄDEN HINGEWIESEN WURDE. Da in einigen Staaten oder Gerichtsbarkeiten ein Haftungsausschluss oder eine Haftungsbeschränkung für zufällige oder Folgeschäden nicht zulässig ist, treffen die oben genannten Einschränkungen unter Umständen nicht auf Sie zu.