Bollettino sulla sicurezza di Adobe

Cerca

Ultimo aggiornamento il 2 ago 2023

Aggiornamenti di sicurezza disponibili per Adobe ColdFusion | APSB23-41

ID bollettino	Data di pubblicazione	Priorità
APSB23-41	14 luglio 2023	1

Riepilogo

Adobe ha rilasciato alcuni aggiornamenti di sicurezza per ColdFusion, versioni 2023, 2021 e 2018. Questi aggiornamenti risolvono una vulnerabilità critica che potrebbe provocare l'esecuzione arbitraria di codice.

Adobe è a conoscenza del fatto che è stato pubblicato un blog di proof of concept (PoC) per la vulnerabilità CVE-2023-38203.

Versioni interessate

Prodotto	Numero aggiornamento	Piattaforma
ColdFusion 2018	Aggiornamento 17 e versioni precedenti	Tutte
ColdFusion 2021	Aggiornamento 7 e versioni precedenti	Tutte
ColdFusion 2023	Aggiornamento 1 e versioni precedenti	Tutte

Soluzione

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

Prodotto	Versione aggiornata	Piattaforma	Livello di priorità	Disponibilità
ColdFusion 2018	Aggiornamento 18	Tutte	1	Nota tecnica
ColdFusion 2021	Aggiornamento 8	Tutte	1	Nota tecnica
ColdFusion 2023	Aggiornamento 2	Tutte	1	Nota tecnica

Nota:

Se in futuro vieni a conoscenza di un pacchetto con una vulnerabilità di deserializzazione, utilizza il file serialfilter.txt in <cfhome>/lib per inserirlo nell'elenco Bloccati (ad esempio: !org.jroup.**;)

Dettagli della vulnerabilità

Categoria della vulnerabilità	Impatto della vulnerabilità	Gravità	Punteggio base CVSS	Vettore CVSS	Codici CVE
Deserializzazione di dati non affidabili (CWE-502)	Esecuzione di codice arbitrario	Critica	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2023-38203

Ringraziamenti:

Adobe desidera ringraziare il seguente ricercatore per la collaborazione e per aver segnalato il problema, contribuendo così a proteggere la sicurezza dei nostri clienti:   

Rahul Maini, Harsh Jaiswal @ ProjectDiscovery Research - CVE-2023-38203
MoonBack (ipplus360) - CVE-2023-38203

NOTA: Adobe dispone di un programma di bug bounty privato, solo su invito, con HackerOne. Se sei interessato a lavorare con Adobe come ricercatore di sicurezza esterno, compila questo modulo per le fasi successive.

Ringraziamenti

Adobe desidera ringraziare il seguente ricercatore per la collaborazione e per aver segnalato il problema, contribuendo così a proteggere la sicurezza dei nostri clienti:

Yonghui Han di FortiGuard Labs di Fortinet - CVE-2023-29308, CVE-2023-29309, CVE-2023-29310, CVE-2023-29311, CVE-2023-29312, CVE-2023-29313, CVE-2023-29314, CVE-2023-29315, CVE-2023-29316, CVE-2023-29317, CVE-2023-29318, CVE-2023-29319

Nota:

Adobe consiglia di aggiornare ColdFusion JDK/JRE versione LTS alla versione di aggiornamento più recente. Controlla la matrice di supporto di ColdFusion qui sotto per la tua versione JDK supportata.

Matrice di supporto di ColdFusion:

CF2018: https://helpx.adobe.com/pdf/coldfusion2018-support-matrix.pdf

CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf

CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf

L'applicazione dell'aggiornamento di ColdFusion senza un aggiornamento del JDK corrispondente NON garantirà la protezione del server. Consulta le note tecniche necessarie per ulteriori informazioni.

Adobe consiglia inoltre ai clienti di applicare le impostazioni di configurazione della protezione descritte nella pagina sulla sicurezza di ColdFusion, nonché di consultare la relativa Guida alla protezione.   

Requisiti JDK di ColdFusion

COLDFUSION 2023 (versione 2023.0.0.330468) e versioni successive
Per i server di applicazioni

Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" nel relativo file di avvio in base al tipo di server applicazioni in uso.

Ad esempio:
Server di applicazione Apache Tomcat: modifica JAVA_OPTS nel file 'Catalina.bat/sh'
Server di applicazione WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'
Server di applicazione WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'
Imposta i flag JVM su un'installazione JEE di ColdFusion, non su un'installazione standalone.

COLDFUSION 2021 (versione 2021.0.0.323925) e versioni successive

Per i server di applicazioni  

Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"

nel relativo file di avvio in base al tipo di server applicazioni in uso.

Ad esempio:  

Server applicazioni Apache Tomcat, modifica JAVA_OPTS nel file 'Catalina.bat/sh'

Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'

Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'

Imposta i flag JVM su una installazione JEE di ColdFusion, non una installazione standalone.  

COLDFUSION 2018 HF1 e versioni successive  