Adobe 安全公告

可用于 ColdFusion 的安全更新 | APSB20-16

公告 ID

发布日期

优先级

APSB20-16

2020 年 3 月 17 日

2

摘要

Adobe 发布了适用于 ColdFusion 版本 2016 和 2018 的安全更新。这些更新解决了可能导致任意代码执行的关键漏洞。


受影响的版本

产品

更新编号

平台

ColdFusion 2016

更新 13 及早期版本

全部

ColdFusion 2018

更新 7 及早期版本

全部

注意:

使用建议的锁定安装程序部署的 ColdFusion 服务器不受这些漏洞的影响。

解决方案

Adobe 按照以下优先级将这些更新分类,并建议用户将其安装的软件更新至最新版本:

产品

更新后的版本

平台

优先级

获取途径

ColdFusion 2016

更新 14

全部

                   2

ColdFusion 2018

更新 8

全部

2

注意:

Adobe 建议将 ColdFusion JDK/JRE 更新到适用于 1.8 和 JDK 11 的最新 LTS 版本。如果未进行相应的 JDK 更新,应用 ColdFusion 更新将不会保护服务器。有关更多详细信息,请参阅相关的技术说明。 

JEE 应用程序服务器:

具有 JEE ColdFusion 部署(如 Tomcat、JBoss EAP)的用户可以参考 https://helpx.adobe.com/cn/coldfusion/kb/coldfusion-2018-update-8.html#jee 中的说明

ColdFusion 11

建议 ColdFusion 11 用户应用 https://helpx.adobe.com/cn/coldfusion/kb/coldfusion-11-mitigation-steps.html 中概述的缓解步骤。

另外,Adobe 还建议客户应当根据“ColdFusion 安全”页面上概述的信息,应用各种安全配置设置,并查看相应的锁定指南。 

漏洞详情

漏洞类别

漏洞影响

严重性

CVE 编号

远程文件读取

从 Coldfusion 安装目录读取任意文件

关键

CVE-2020-3761

文件包含

对位于 webroot 或其子目录中的文件执行任意代码

关键

CVE-2020-3794

致谢

Adobe 衷心感谢来自 Venustech ADLab 的 Wang Cheng (CVE-2020-3761、CVE-2020-3794)报告这些问题并与 Adobe 一同保护客户的安全。

ColdFusion JDK 要求

COLDFUSION 2018 HF1 及更高版本  

对于应用程序服务器   

在 JEE 安装中,根据所使用的应用程序服务器类型,在相应的启动文件中设置以下 JVM 标志:“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**”。 

例如:

Apache Tomcat 应用程序服务器:在“Catalina.bat/sh”文件中编辑 JAVA_OPTS   

WebLogic 应用程序服务器:在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS   

WildFly/EAP 应用程序服务器:在“standalone.conf”文件中编辑 JAVA_OPTS   

在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.   

COLDFUSION 2016 HF7 及更高版本

此安全更新要求 ColdFusion 处于 JDK 8u121 或更高版本中。Adobe 建议您必须手动将 ColdFusion JDK/JRE 更新至最新版本。如果您没有更新 JDK/JRE,那么仅仅应用更新并不能保护服务器的安全。

对于应用程序服务器

此外,在 JEE 安装中,根据所使用的应用程序服务器类型,在相应的启动文件中设置以下 JVM 标志:“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**”。 

例如:

在 Apache Tomcat 应用程序服务器上,在“Catalina.bat/sh”文件中编辑 JAVA_OPTS         

在 WebLogic 应用程序服务器上,在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS         

在 WildFly/EAP 应用程序服务器上,在“standalone.conf”文件中编辑 JAVA_OPTS 

在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志

Adobe 免责声明

许可协议

使用 Adobe Incorporated 或其子公司(“Adobe”)的软件即表示您同意遵守以下条款和条件。如果您不同意这些条款和条件,请勿使用该软件。安装或下载特定软件时,该软件文件附带的最终用户许可协议的条款将取代以下条款。

Adobe 软件产品的出口或转出口受《美国出口管理法》管制,此类软件不得出口或转出口至古巴、伊朗、朝鲜、叙利亚和乌克兰的克里米亚地区,或美国对其实施货物禁运的任何国家/地区。此外,Adobe 软件不得分发给 Table of Denial Orders(《拒绝订购表》)、Entity List(《实体名单》)或 List of Specially Designated Nationals(《特别指定国民名单》)中列出的人员。 

下载或使用 Adobe 软件产品即证明您并非古巴、伊朗、朝鲜、叙利亚和乌克兰的克里米亚地区,或美国对其实施货物禁运的任何国家/地区的公民,并且不是 Table of Denial Orders(《拒绝订购表》)、Entity List(《实体名单》)或 List of Specially Designated Nationals(《特别指定国民名单》)中列出的人员。如果该软件设计为与 Adobe 发布的某一应用程序软件产品(“宿主应用程序”)一起使用,Adobe 将授予您一个非独占性许可证,允许此类软件与该特定宿主应用程序一起使用,前提是您从 Adobe 获得了该宿主应用程序的有效许可证。除下述情况外,此类软件依据 Adobe《最终用户许可协议》的条款和条件授权给您,约束您对宿主应用程序的使用。

免责声明:您同意 Adobe 未向您做出关于该软件的任何明示的担保,并且该软件是“按原样”提供给您,且未提供任何形式的担保。Adobe 声明不提供关于该软件的任何明示或暗示的担保,包括但不限于任何对某一特定用途的适用性、适销性、适销质量或者不侵犯第三方权利所做的暗示担保。某些州或司法管辖区不允许排除暗示担保,因此以上限制可能对您并不适用。

责任限制:Adobe 在任何情况下都不对下列问题负责:任何的使用损失;业务中断;或者任何形式的直接、间接、特殊、偶发或后果性损害(包括利润损失),无论是何种形式的行为造成的,无论是否在合同中规定;侵权行为(包括疏忽);严格的产品责任或其它内容。即使 Adobe 已被告知可能出现此类损害,Adobe 也不承担责任。某些州或司法管辖区不允许排除或限制偶发性或后果性损害,因此以上限制或排除事项可能对您并不适用。

Adobe 徽标

登录到您的帐户