Adobe 安全公告

搜索

上次更新日期： 2022年5月19日

适用于 Adobe ColdFusion 的安全更新 | APSB22-22

公告 ID	发布日期	优先级
APSB22-22	2022 年 5 月 10 日	3

摘要

Adobe 发布了适用于 ColdFusion  2021 和  2018 版本的安全更新。这些更新解决了可能导致任意代码执行的重要  漏洞。
  

Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本：

产品	更新后的版本	平台	优先级	获取途径
ColdFusion 2018	更新 14	全部	3	技术说明
ColdFusion 2021	更新 4	全部	3	技术说明

注意:

Adobe 建议将 ColdFusion JDK/JRE 更新到适用于 1.8 和 JDK 11 的最新 LTS 版本。如果未进行相应的 JDK 更新，应用 ColdFusion 更新将不会保护服务器。有关更多详细信息，请参阅相关的技术说明。

另外，Adobe 还建议客户应当根据“ColdFusion 安全”页面上概述的信息，应用各种安全配置设置，并查看相应的锁定指南。

漏洞类别	漏洞影响	严重性	CVSS 基础评分	CVSS 向量	CVE 编号
跨站点脚本（反射型 XSS）(CWE-79)	任意代码执行	重要	5.4	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N	CVE-2022-28818

Adobe 衷心感谢以下个人报告相关问题并与 Adobe 一起保护我们的客户：

COLDFUSION 2021（版本 2021.0.0.323925）及更高版本

对于应用程序服务器  

在 JEE 安装中，根据所使用的应用程序服务器类型，在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**”。

例如：

Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS  

WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS  

WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS  

在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.  

COLDFUSION 2018 HF1 及更高版本  

对于应用程序服务器  

例如：

Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS  

WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS  

WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS  

在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.  

有关更多信息，请访问 https://helpx.adobe.com/cn/security.html，或发送电子邮件至 PSIRT@adobe.com

新用户？