公告 ID
上次更新日期：
2023年8月2日
Adobe ColdFusion 的安全更新 | APSB23-47
|
|
发布日期 |
优先级 |
|
APSB23-47 |
2023 年 7 月 19 日 |
1 |
摘要
受影响的版本
|
产品 |
更新编号 |
平台 |
|
ColdFusion 2023 |
更新 2 及早期版本 |
全部 |
|
ColdFusion 2021 |
更新 8 及更早版本 |
全部 |
|
ColdFusion 2018 |
更新 18 及早期版本 |
全部 |
解决方案
Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本：
注意:
如果您未来发现程序包存在反序列化漏洞，请使用 <cfhome>/lib 中的 serialfilter.txt 文件将程序包列入阻止列表（例如：!org.jgroups.**;）
漏洞详情
|
漏洞类别 |
漏洞影响 |
严重性 |
CVSS 基础评分 |
CVE 编号 |
|
|
不受信任的数据反序列化 (CWE-502) |
任意代码执行 |
关键 |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-38204 |
|
不当的访问控制 (CWE-284) |
绕过安全功能 |
关键 |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-38205 |
|
不当的访问控制 (CWE-284) |
绕过安全功能 |
中等 |
5.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2023-38206 |
鸣谢：
Adobe 衷心感谢以下研究人员报告此问题并与 Adobe 一起保护我们的客户：
- Rahul Maini、Harsh Jaiswal @ ProjectDiscovery Research - CVE-2023-38204
- MoonBack (ipplus360) - CVE-2023-38204
- Stephen Fewer - CVE-2023-38205
- Brian Reilly - CVE-2023-38206
注意：Adobe 通过 HackerOne 开展私密的有奖挖洞邀请项目。如果您有兴趣作为外部安全研究人员与 Adobe 合作，请填写此表格，用于后续流程。
鸣谢
Adobe 衷心感谢以下研究人员报告此问题并与 Adobe 一起保护我们的客户：
- 来自 Fortinet FortiGuard 实验室的 Yonghui Han - CVE-2023-29308、CVE-2023-29309、CVE-2023-29310、CVE-2023-29311、CVE-2023-29312、CVE-2023-29313、CVE-2023-29314、CVE-2023-29315、CVE-2023-29316、CVE-2023-29317、CVE-2023-29318、CVE-2023-29319
注意：Adobe 通过 HackerOne 开展私密的有奖挖洞邀请项目。如果您有兴趣作为外部安全研究人员与 Adobe 合作，请填写此表格，用于后续流程。
注意:
Adobe 建议将 ColdFusion JDK/JRE LTS 版本更新到最新版本。 请查看下面的 ColdFusion 支持列表，了解您所支持的 JDK 版本。
ColdFusion 支持列表：
CF2023：https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf
CF2021：https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf
CF2018：https://helpx.adobe.com/pdf/coldfusion2018-support-matrix.pdf
如果未进行相应的 JDK 更新，应用 ColdFusion 更新将不会保护服务器。有关更多详细信息，请参阅相关的技术说明。
另外，Adobe 还建议客户应当根据“ColdFusion 安全”页面上概述的信息，应用各种安全配置设置，并查看相应的锁定指南。
ColdFusion JDK 要求
COLDFUSION 2023（版本 2023.0.0.330468）及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**”。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志。
COLDFUSION 2021（版本 2021.0.0.323925）及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型，在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**”。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.
COLDFUSION 2018 HF1 及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型，在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**”。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.
有关更多信息，请访问 https://helpx.adobe.com/cn/security.html，或发送电子邮件至 PSIRT@adobe.com
