Bulletin-ID
Zuletzt aktualisiert am
9. Januar 2025
Sicherheits-Updates für Adobe ColdFusion verfügbar | APSB24-14
|
|
Veröffentlichungsdatum |
Priorität |
|
APSB24-14 |
12. März 2024 |
1 |
Zusammenfassung
Adobe hat Sicherheits-Updates für ColdFusion, Version 2023 und 2021, veröffentlicht. Diese Updates beheben kritische Sicherheitslücken, die zum willkürlichen Lesen des Dateisystems und zur Berechtigungsausweitung führen könnten.
Adobe ist bekannt, dass für CVE-2024-20767 ein bekannter Machbarkeitsnachweis vorhanden ist, der zur willkürlichen Auslesung des Dateisystems führen könnte.
Betroffene Versionen
|
Produkt |
Updatenummer |
Plattform |
|
ColdFusion 2023 |
Update 6 und ältere Versionen |
Alle |
|
ColdFusion 2021 |
Update 12 und ältere Versionen |
Alle |
Lösung
Adobe stuft die Priorität dieser Updates wie nachstehend ein und empfiehlt die Installation allen Anwendern:
|
Produkt |
Aktualisierte Version |
Plattform |
Priorität |
Verfügbarkeit |
|---|---|---|---|---|
|
ColdFusion 2023 |
Update 12 |
Alle |
1 |
|
|
ColdFusion 2021 |
Update 18 |
Alle |
1 |
Hinweis:
Weitere Details zum Schutz vor Deserialisierungsangriffen auf unsicheres WDDX finden Sie in der aktualisierten Dokumentation zum Serialisierungsfilter https://helpx.adobe.com/de/coldfusion/kb/coldfusion-serialfilter-file.html
Sicherheitslückendetails
|
Sicherheitslückenkategorie |
Sicherheitslückenauswirkung |
Problemstufe |
CVSS-Basispunktzahl |
CVE-Nummern |
Anmerkungen |
|
|
Unzulässige Zugriffskontrolle (CWE-284) |
Willkürlicher Dateisystem-Lesezugriff |
Kritisch |
8.2 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
CVE-2024-20767 |
Diese Sicherheitslücke wurde in ColdFusion 2023 Update 12 und ColdFusion 2021 Update 18 weiter behoben. Weitere Informationen finden Sie unter APSB24-107. |
|
Unzulässige Authentifizierung (CWE-287) |
Berechtigungsausweitung |
Kritisch |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
CVE-2024-45113 |
Dieses Problem wurde in ColdFusion 2023 Update 7 und höher sowie in ColdFusion 2021 Update 13 und höher behoben. |
Danksagung:
Adobe bedankt sich bei den folgenden Forschern für das Melden dieser Schwachstellen und für die Zusammenarbeit mit Adobe zum Schutz der Sicherheit unserer Kunden.
- ma4ter – CVE-2024-20767
- Brian Reilly (reillyb) - CVE-2024-45113
HINWEIS: Adobe hat ein öffentliches Bug-Bounty-Programm mit HackerOne. Wenn Sie an einer Zusammenarbeit mit Adobe als externer Sicherheitsforscher interessiert sind, informieren Sie sich bitte hier: https://hackerone.com/adobe
Hinweis:
Adobe empfiehlt, Ihre ColdFusion JDK/JRE LTS-Version auf die neueste Update-Version zu aktualisieren. Sehen Sie in der unten stehenden ColdFusion-Support-Matrix nach, welche JDK-Version von Ihnen unterstützt wird.
ColdFusion – Unterstützungsübersicht:
CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf
CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf
Wenn das ColdFusion-Update ohne das entsprechende JDK-Update angewendet wird, wird der Server NICHT geschützt. Weitere Einzelheiten finden Sie in den technischen Hinweisen.
Adobe empfiehlt zudem, dass Anwender die Sicherheitskonfigurationseinstellungen verwenden, die in der ColdFusion-Hilfe beschrieben sind, und die Informationen in den jeweiligen Lockdown Guides beachten.
ColdFusion JDK-Anforderung
ColdFusion 2023 (Version 2023.0.0.330468) und höher
Für Anwendungsserver
Bei JEE-Installationen das folgende JVM-Flag festlegen: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" in der Startdatei des verwendeten Anwendungsservers.
Beispiel:
Apache Tomcat Anwendungsserver: editieren Sie JAVA_OPTS in der Datei „Catalina.bat/sh“
WebLogic Anwendungsserver: editieren Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“
WildFly/EAP Anwendungsserver: editieren Sie JAVA_OPTS in der Datei „standalone.conf“
Setzen Sie die JVM-Flags bei einer JEE-Installation von ColdFusion, nicht bei einer Standalone-Installation.
COLDFUSION 2021 (Version 2021.0.0.323925) und höher
Für Anwendungsserver
Setzen Sie in JEE-Installationen das JVM-Flag “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"
in der Startdatei des verwendeten Anwendungsservers.
Beispiel:
Apache Tomcat Anwendungsserver: Bearbeiten Sie JAVA_OPTS in der Datei „Catalina.bat/sh“
WebLogic Anwendungsserver: Bearbeiten Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“
WildFly/EAP Anwendungsserver: Bearbeiten Sie die JAVA_OPTS in der Datei „standalone.conf“
Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.
Überarbeitungen
23. Dezember 2024 – Aktualisierung: Zusammenfassung, Lösung aus ColdFusion 2023 Update 7 bis ColdFusion 2023 Update 12, ColdFusion 2021 Update 13 bis ColdFusion 2021 Update 18, Priorität von 3 in 1 geändert, Spalte "Notizen" zur Tabelle mit den Sicherheitslückendetails hinzugefügt.
10. September 2024: CVE-2024-45113 hinzugefügt
Weitere Informationen erhalten Sie unter https://helpx.adobe.com/de/security.html oder per E-Mail an PSIRT@adobe.com
