Datum vydání: 10. května 2016
Poslední aktualizace: 10. června 2016
Identifikátor chyby zabezpečení: APSB16-16
Priorita: 2
Čísla CVE: CVE-2016-1113, CVE-2016-1114, CVE-2016-1115
Platformy: Všechny
Společnost vydala bezpečnostní opravy hotfix pro produkt ColdFusion verze 10, 11 a vydání 2016. Tyto opravy hotfix řeší potíže s ověřením vstupu (CVE-2016-1113), problém s ověřením názvu hostitele v případě certifikátů se zástupnými znaky (CVE-2016-1115) a obsahují aktualizovanou verzi knihovny Apache Commons Collections pro omezení deserializace prostředí Java (CVE-2016-1114).
Společnost Adobe doporučuje zákazníkům, aby použili opravy hotfix podle pokynů uvedených v části „Řešení“ níže.
Produkt | Postižené verze | Platforma |
---|---|---|
ColdFusion (vydání 2016) | 2016.0.0 | Vše |
ColdFusion 11 | Aktualizace 7 a starší verze | Vše |
ColdFusion 10 | Aktualizace 18 a starší verze | Vše |
Společnost Adobe označila tuto opravu hotfix následujícím hodnocením priority a doporučuje uživatelům, aby si nainstalovali nejnovější verzi:
Produkt | Verze opravy hotfix | Platforma | Hodnocení priority | Dostupnost |
---|---|---|---|---|
ColdFusion (vydání 2016) | Aktualizace 1 | Vše | 2 | Technická poznámka |
ColdFusion 11 | Aktualizace 8 | Vše |
2 | Technická poznámka |
ColdFusion 10 | Aktualizace 19 | Vše | 2 | Technická poznámka |
Společnost Adobe doporučuje uživatelům platformy ColdFusion, aby provedli aktualizaci dle pokynů v příslušných technických poznámkách:
- ColdFusion (vydání 2016): http://helpx.adobe.com/cz/coldfusion/kb/coldfusion-2016-update-1.html
- ColdFusion 11: http://helpx.adobe.com/cz/coldfusion/kb/coldfusion-11-update-8.html
- ColdFusion 10: http://helpx.adobe.com/cz/coldfusion/kb/coldfusion-10-update-19.html
Zákazníci by měli použít také nastavení konfigurace zabezpečení popsané na stránce Zabezpečení aplikace a vyhledat informace v příslušné příručce Lockdown Guide.
- Tyto opravy hotfix řeší závažné potíže s ověřováním vstupu (CVE-2016-1113), které je možné zneužít k útoku skrze skriptování mezi weby.
- Tyto opravy hotfix obsahují aktualizovanou verzi knihovny Apache Commons Collections pro omezení významné zranitelnosti způsobené deserializací prostředí Java (CVE-2016-1114).
- Tyto opravy hotfix řeší středně závažný problém s ověřováním při použití certifikátů se zástupnými znaky (CVE-2016-1115).
Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím jednotlivcům a organizacím:
- Andrew Bonstrom (CVE-2016-1113)
- Aaron Foote (CVE-2016-1114)
- Pete Freitag ze společnosti Foundeo Inc (CVE-2016-1115)
Licenční smlouva
Používáním softwaru společnosti Adobe Systems Incorporated nebo jejích poboček („Adobe“) vyjadřujete svůj souhlas s následujícími podmínkami. Pokud s těmito podmínkami nesouhlasíte, uvedený software nepoužívejte. Podmínky licenční smlouvy s koncovým uživatelem dodané spolu s konkrétním souborem softwaru při instalaci nebo stažení daného softwaru nahrazují podmínky uvedené níže.
Export a reexport produktů společnosti Adobe se řídí předpisy Spojených států a tento software nesmí být exportován ani reexportován na Kubu, do Íránu, Iráku, Libye, Severní Koreje, Súdánu a Sýrie a do zemí, na které Spojené Státy uplatňují obchodní embargo. Software společnosti Adobe dále nesmí být distribuován osobám uvedeným v seznamu pro odmítnutí objednávek nebo osobám kategorie SDN (Specially Designated Nationals).
Stažením nebo používáním softwarového produktu společnosti Adobe stvrzujete, že nejste občany Kuby, Íránu, Iráku, Libye, Severní Koreje, Súdánu ani Sýrie nebo zemí, na něž Spojené Státy uplatňují obchodní embargo, a nejste uvedeni v seznamu pro odmítnutí objednávek, seznamu subjektů (Entity List) a seznamu osob kategorie SDN (Specially Designated Nationals). Pokud je software určen pro použití s aplikačním softwarovým produktem („hostitelská aplikace“) publikovaným společností Adobe, společnost Adobe vám uděluje nevýhradní licenci k používání tohoto softwaru s hostitelskou aplikací pouze za předpokladu, že na hostitelskou aplikaci vlastníte platnou licenci od společnosti Adobe. S výjimkou uvedenou níže je vám takový software licencován na základě podmínek licenční smlouvy s koncovým uživatelem od společnosti Adobe, kterou se řídí vaše používání hostitelské aplikace.
ODMÍTNUTÍ ZÁRUK: SOUHLASÍTE S TÍM, ŽE VÁM SPOLEČNOST ADOBE NEUDĚLILA ŽÁDNÉ VÝSLOVNÉ ZÁRUKY TÝKAJÍCÍ SE SOFTWARU A ŽE VÁM BYL SOFTWARE POSKYTNUT „JAK JE“, BEZ ZÁRUKY JAKÉHOKOLIV DRUHU. SPOLEČNOST ADOBE ODMÍTÁ JAKÉKOLI ZÁRUKY TÝKAJÍCÍ SE SOFTWARU, AŤ UŽ VYJÁDŘENÉ NEBO PŘEDPOKLÁDANÉ, ZEJMÉNA PŘEDPOKLÁDANÉ ZÁRUKY VHODNOSTI PRO URČITÝ ÚČEL, OBCHODOVATELNOSTI, OBCHODOVATELNÉ KVALITY NEBO NEPORUŠENÍ PRÁV TŘETÍCH STRAN. Některé státy nebo jurisdikce nedovolují vyloučení předpokládaných záruk, proto se na vás uvedená omezení nemusejí vztahovat.
OMEZENÍ ODPOVĚDNOSTI: SPOLEČNOST ADOBE NEBUDE V ŽÁDNÉM PŘÍPADĚ ODPOVĚDNÁ ZA JAKOUKOLIV VAŠI ZTRÁTU MOŽNOSTI POUŽITÍ, PŘERUŠENÍ ČINNOSTI NEBO JAKÉKOLI PŘÍMÉ, NEPŘÍMÉ, ZVLÁŠTNÍ, NÁHODNÉ NEBO NÁSLEDNÉ ŠKODY (VČETNĚ UŠLÉHO ZISKU) BEZ OHLEDU NA FORMU ŽALOBY – NA ZÁKLADĚ SMLOUVY, OBČANSKÉHO PRÁVA (VČETNĚ NEDBALOSTI), STRIKTNÍ ODPOVĚDNOSTI ZA PRODUKT ČI JINAK, A TO ANI V PŘÍPADĚ, ŽE BYLA SPOLEČNOST NA MOŽNOST TAKOVÝCH ŠKOD UPOZORNĚNA. Některé státy nebo jurisdikce nedovolují vyloučení nebo omezení náhodných nebo následných škod, proto se na vás uvedená omezení nemusejí vztahovat.