ID del boletín
Última actualización el
28/11/2023
Actualizaciones de seguridad disponibles para Adobe ColdFusion | APSB23-52
|
|
Fecha de publicación |
Prioridad |
|
APSB23-52 |
14 de noviembre de 2023 |
3 |
Resumen
Adobe ha lanzado actualizaciones de seguridad para las versiones de 2023 y 2021 de ColdFusion. Estas actualizaciones solucionan vulnerabilidades críticas, importantes y moderadas que podrían dar lugar a la ejecución de código arbitrario y la omisión de la función de seguridad.
Versiones afectadas
|
Producto |
Número de actualización |
Plataforma |
|
ColdFusion 2023 |
Actualización 5 y versiones anteriores |
Todas |
|
ColdFusion 2021 |
Actualización 11 y versiones anteriores |
Todas |
Solución
Adobe categoriza estas actualizaciones de acuerdo a los siguientes niveles de prioridad y recomienda que los usuarios actualicen los programas a las versiones más recientes:
|
Producto |
Versión actualizada |
Plataforma |
Nivel de prioridad |
Disponibilidad |
|---|---|---|---|---|
|
ColdFusion 2023 |
Actualización 6 |
Todas |
3 |
|
|
ColdFusion 2021 |
Actualización 12 |
Todas |
3 |
Nota:
Para más detalles sobre la protección contra ataques inseguros de deserialización Wddx, consulte https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Detalles sobre la vulnerabilidad
|
Categoría de vulnerabilidad |
Impacto de la vulnerabilidad |
Gravedad |
Puntuación base CVSS |
Números CVE |
|
|
Deserialización de datos que no son de confianza (CWE-502) |
Ejecución de código arbitraria |
Crítica |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
CVE-2023-44350 |
|
Control de acceso incorrecto (CWE-284) |
Omisión de la función de seguridad |
Crítica |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-26347 |
|
Deserialización de datos que no son de confianza (CWE-502) |
Ejecución de código arbitraria |
Crítica |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-44351 |
|
Ejecución de scripts en sitios múltiples (XSS reflejado) (CWE-79) |
Ejecución de código arbitraria |
Importante |
6.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-44352 |
|
Deserialización de datos que no son de confianza (CWE-502) |
Ejecución de código arbitraria |
Importante |
5.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2023-44353 |
|
Validación incorrecta de la entrada (CWE-20) |
Ejecución de código arbitraria |
Moderada |
4.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2023-44355 |
Reconocimientos:
Adobe desea dar las gracias a los siguientes investigadores por informar sobre este problema y por colaborar con Adobe para ayudarnos a proteger a nuestros clientes:
- Brian Reilly - CVE-2023-44350, CVE-2023-44355
- Daniel Jensen - CVE-2023-44351
- pwnii (pwnwithlove) - CVE-2023-44352
- McCaulay Hudson - CVE-2023-44353
- Matthew Galligan y Jon Cagan, CISA - CVE-2023-26347
NOTA: Adobe tiene un programa privado de detección de errores con HackerOne (solo con invitación). Si le interesa trabajar con Adobe como investigador de seguridad externo, rellene este formulario para los siguientes pasos.
Nota:
Adobe recomienda actualizar JDK/JRE LTS de ColdFusion a la versión más reciente. Compruebe si su versión de JDK es compatible en la siguiente tabla de compatibilidad de ColdFusion.
Tabla de compatibilidad de ColdFusion:
CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf
CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf
La actualización de ColdFusion sin la actualización de JDK correspondiente NO asegura el servidor. Consulte las notas técnicas relevantes para obtener más detalles.
Adobe también recomienda a sus clientes aplicar los ajustes de configuración de la página de seguridad de ColdFusion y consultar las guías de bloqueo correspondientes.
Requisito de JDK de ColdFusion
COLDFUSION 2023 (versión 2023.0.0.330468) y posteriores
Para servidores de aplicaciones
En las instalaciones de JEE, debe establecer la siguiente marca de JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" en el archivo de inicio correspondiente en función del tipo de servidor de aplicaciones que esté utilizando.
Por ejemplo:
Servidor de aplicaciones Apache Tomcat: edite JAVA_OPTS en el archivo ‘Catalina.bat/sh’
Servidor de aplicaciones WebLogic: edite JAVA_OPTIONS en el archivo ‘startWeblogic.cmd’
Servidor de aplicaciones WildFly/EAP: edite JAVA_OPTS en el archivo ‘standalone.conf’
Establezca las marcas de JVM en la instalación de JEE de ColdFusion, no en una instalación independiente.
COLDFUSION 2021 (versión 2021.0.0.323925) y posteriores
Para servidores de aplicaciones
En instalaciones de JEE, debe establecer la siguiente marca de JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"
en el archivo de inicio correspondiente en función del tipo de servidor de aplicaciones que esté utilizando.
Por ejemplo:
Servidor de aplicaciones Apache Tomcat: edite JAVA_OPTS en el archivo ‘Catalina.bat/sh’
Servidor de aplicaciones WebLogic: edite JAVA_OPTIONS en el archivo ‘startWeblogic.cmd’
Servidor de aplicaciones WildFly/EAP: edite JAVA_OPTS en el archivo ‘standalone.conf’
Establezca las marcas de JVM en la instalación de JEE de ColdFusion, no en una instalación independiente.
Para obtener más información, visite https://helpx.adobe.com/es/security.html o envíe un correo electrónico a la dirección PSIRT@adobe.com
