Bezpečnostní bulletin společnosti Adobe

Hledat

Naposledy aktualizováno 22. 10. 2022

Zveřejnění aktualizací zabezpečení pro aplikaci Adobe ColdFusion | APSB22-44

ID bulletinu	Datum zveřejnění	Priorita
APSB22-44	11. října 2022	3

Shrnutí

Společnost Adobe vydala aktualizace zabezpečení pro aplikaci ColdFusion verze 2021, a 2018. Tyto aktualizace řeší kritické, závažné a středně závažné  chyby zabezpečení, které by mohly vést ke svévolnému spuštění kódu, nahodilému zápisu souborového systému, obejití bezpečnostních funkcí a zvýšení oprávnění.

  

Postižené verze

Produkt	Číslo aktualizace	Platforma
ColdFusion 2018	Aktualizace 14 a starší verze	Vše
ColdFusion 2021	Aktualizace 4 a starší verze	Vše

Řešení

Společnost Adobe označuje tyto aktualizace následujícími úrovněmi priority a doporučuje uživatelům aktualizovat produkty na nejnovější verze:

Produkt	Aktualizovaná verze	Platforma	Úroveň priority	Dostupnost
ColdFusion 2018	Aktualizace 15	Vše	3	Technická poznámka
ColdFusion 2021	Aktualizace 5	Vše	3	Technická poznámka

Poznámka:

Společnost Adobe doporučuje aktualizovat software ColdFusion JDK/JRE na nejnovější verzi vydání LTS pro JDK 11. Instalace aktualizace aplikace ColdFusion bez instalace příslušné aktualizace prostředí JDK k zabezpečení serveru NESTAČÍ. Podrobnosti naleznete v příslušných technických poznámkách.

Společnost Adobe také zákazníkům doporučuje, aby použili nastavení konfigurace zabezpečení popsané na stránce Zabezpečení aplikace ColdFusion a dále si přečetli informace v příslušné příručce týkající se uzamčení.   

Podrobnosti o chybě zabezpečení

Kategorie chyby zabezpečení	Dopad chyby zabezpečení	Závažnost	Základní hodnocení CVSS	Vektor CVSS	Čísla CVE
Přetečení vyrovnávací paměti založené na zásobníku (CWE-121)	Svévolné spuštění kódu	Kritická	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35710
Přetečení vyrovnávací paměti založené na haldě (CWE-122)	Svévolné spuštění kódu	Kritická	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35711
Přetečení vyrovnávací paměti založené na zásobníku (CWE-121)	Svévolné spuštění kódu	Kritická	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35690
Přetečení vyrovnávací paměti založené na haldě (CWE-122)	Svévolné spuštění kódu	Kritická	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-35712
Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22)	Svévolné spuštění kódu	Kritická	8.1	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2022-38418
Nesprávné omezení reference na externí entitu XML („XXE“) (CWE-611)	Nahodilé čtení souborového systému	Důležitá	5.9	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2022-38419
Použití pevně zakódovaných přihlašovacích údajů (CWE-798)	Zvyšování oprávnění	Důležitá	6.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H	CVE-2022-38420
Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22)	Svévolné spuštění kódu	Důležitá	6.6	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H	CVE-2022-38421
Expozice informací (CWE-200)	Obcházení bezpečnostních funkcí	Důležitá	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	CVE-2022-38422
Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22)	Obcházení bezpečnostních funkcí	Střední	4.4	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N	CVE-2022-38423
Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22)	Nahodilý zápis souborového systému	Kritická	7,2	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H	CVE-2022-38424
Nesprávné ověření vstupu (CWE-20)	Nahodilé čtení souborového systému	Důležitá	7,5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2022-42340
Nesprávné omezení reference na externí entitu XML („XXE“) (CWE-611)	Nahodilé čtení souborového systému	Důležitá	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2022-42341

Poděkování

Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím jednotlivcům a subjektům:

rgod spolupracující s iniciativou Zero Day Initiative společnosti Trend Micro – CVE-2022-35710, CVE-2022-35711, CVE-2022-35690, CVE-2022-35712, CVE-2022-38418, CVE-2022-38419, CVE-2022-38420, CVE-2022-38421, CVE-2022-38422, CVE-2022-38423, CVE-2022-38424
reillyb – CVE-2022-42340, CVE-2022-42341

Požadavky prostředí ColdFusion JDK

COLDFUSION 2021 (Verze 2021.0.0.323925) a vyšší

Pro aplikační servery  

Kromě toho je nutné u instalací JEE nastavit příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**" v příslušném spouštěcím souboru v závislosti na typu používaného aplikačního serveru. 

Příklad:  

Na aplikačním serveru Apache Tomcat: Upravte parametr JAVA_OPTS v souboru „Catalina.bat/sh“.

Na aplikačním serveru WebLogic: Upravte parametr JAVA_OPTIONS v souboru „startWeblogic.cmd“.

Na aplikačním serveru WildFly/EAP: Upravte parametr JAVA_OPTS v souboru „standalone.conf“.

Příznaky JVM nastavujte u instalace JEE aplikace ColdFusion, nikoliv u samostatné instalace.  

COLDFUSION 2018 HF1 a vyšší  