公告 ID
上次更新日期：
2022年10月22日
适用于 Adobe ColdFusion 的安全更新 | APSB22-44
|
|
发布日期 |
优先级 |
|
APSB22-44 |
2022 年 10 月 11 日 |
3 |
摘要
受影响的版本
|
产品 |
更新编号 |
平台 |
|
ColdFusion 2018 |
更新 14 及早期版本 |
全部 |
|
ColdFusion 2021 |
更新 4 及更早版本 |
全部 |
解决方案
Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本：
注意:
Adobe 建议将 ColdFusion JDK/JRE 更新到适用于 JDK 11 的最新 LTS 版本。如果未进行相应的 JDK 更新，应用 ColdFusion 更新将不会保护服务器。有关更多详细信息，请参阅相关的技术说明。
另外，Adobe 还建议客户应当根据“ColdFusion 安全”页面上概述的信息，应用各种安全配置设置，并查看相应的锁定指南。
漏洞详情
|
漏洞类别 |
漏洞影响 |
严重性 |
CVSS 基础评分 |
CVE 编号 |
|
|
基于堆栈的缓冲区溢出 (CWE-121) |
任意代码执行 |
关键 |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35710 |
|
基于堆的缓冲区溢出 (CWE-122) |
任意代码执行 |
关键 |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35711 |
|
基于堆栈的缓冲区溢出 (CWE-121) |
任意代码执行 |
关键 |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35690 |
|
基于堆的缓冲区溢出 (CWE-122) |
任意代码执行 |
关键 |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35712 |
|
对受限目录路径名称的限制不当（“路径遍历”）(CWE-22) |
任意代码执行 |
关键 |
8.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38418 |
|
XML 外部实体引用 ('XXE') 限制不当 (CWE-611) |
任意文件系统读取 |
重要 |
5.9 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-38419 |
|
使用硬编码凭据 (CWE-798) |
权限升级 |
重要 |
6.8 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H |
CVE-2022-38420 |
|
对受限目录路径名称的限制不当（“路径遍历”）(CWE-22) |
任意代码执行 |
重要 |
6.6 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38421 |
|
信息披露 (CWE-200) |
绕过安全功能 |
重要 |
5.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2022-38422 |
|
对受限目录路径名称的限制不当（“路径遍历”）(CWE-22) |
绕过安全功能 |
中等 |
4.4 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-38423 |
|
对受限目录路径名称的限制不当（“路径遍历”）(CWE-22) |
任意文件系统写入 |
关键 |
7.2 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38424 |
|
|
|
重要 |
7.5
|
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-42340 |
|
XML 外部实体引用 ('XXE') 限制不当 (CWE-611) |
|
重要
|
7.5
|
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-42341 |
鸣谢
Adobe 衷心感谢以下个人报告相关问题并与 Adobe 一起保护我们的客户：
- 参与趋势科技“零日计划”(Zero Day Initiative) 的 rgod - CVE-2022-35710、CVE-2022-35711、CVE-2022-35690、CVE-2022-35712、CVE-2022-38418、CVE-2022-38419、CVE-2022-38420、CVE-2022-38421、CVE-2022-38422、CVE-2022-38423、CVE-2022-38424
- reillyb - CVE-2022-42340、CVE-2022-42341
ColdFusion JDK 要求
COLDFUSION 2021（版本 2021.0.0.323925）及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型，在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**”。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.
COLDFUSION 2018 HF1 及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型，在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**”。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.
有关更多信息，请访问 https://helpx.adobe.com/cn/security.html，或发送电子邮件至 PSIRT@adobe.com
