Bezpečnostní bulletin společnosti Adobe

Hledat

Naposledy aktualizováno 2. 8. 2023

Zveřejnění aktualizací zabezpečení pro aplikaci Adobe ColdFusion | APSB23-41

ID bulletinu	Datum zveřejnění	Priorita
APSB23-41	14. července 2023	1

Shrnutí

Společnost Adobe vydala aktualizace zabezpečení pro aplikaci ColdFusion verze 2023, 2021 a 2018. Tyto aktualizace řeší kritické chyby zabezpečení, které mohly vést ke svévolnému spuštění kódu.

Společnost Adobe si je vědoma toho, že byl zveřejněn blog s ověřením konceptu pro CVE-2023-38203.

Postižené verze

Produkt	Číslo aktualizace	Platforma
ColdFusion 2018	Aktualizace 17 a starší verze	Vše
ColdFusion 2021	Aktualizace 7 a starší verze	Vše
ColdFusion 2023	Aktualizace 1 a starší verze	Vše

Řešení

Společnost Adobe označuje tyto aktualizace následujícími úrovněmi priority a doporučuje uživatelům aktualizovat produkty na nejnovější verze:

Produkt	Aktualizovaná verze	Platforma	Úroveň priority	Dostupnost
ColdFusion 2018	Aktualizace 18	Vše	1	Technická poznámka
ColdFusion 2021	Aktualizace 8	Vše	1	Technická poznámka
ColdFusion 2023	Aktualizace 2	Vše	1	Technická poznámka

Poznámka:

Pokud se v budoucnu dozvíte o nějakém balíčku s chybou zabezpečení týkající se deserializace, použijte soubor serialfilter.txt v <cfhome>/lib k umístění balíčku na seznam zakázaných (např.: !org.jroup.**;)

Podrobnosti o chybě zabezpečení

Kategorie chyby zabezpečení	Dopad chyby zabezpečení	Závažnost	Základní hodnocení CVSS	Vektor CVSS	Čísla CVE
Deserializace nedůvěryhodných dat (CWE-502)	Svévolné spuštění kódu	Kritická	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2023-38203

Poděkování:

Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:   

Rahul Maini, Harsh Jaiswal @ ProjectDiscovery Research – CVE-2023-38203
MoonBack (ipplus360) – CVE-2023-38203

POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne soukromý program Bug Bounty, který je k dispozici pouze pro pozvané. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení a chcete vědět, jak dál postupovat, vyplňte tento formulář.

Poděkování

Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:   

Yonghui Han z laboratoří FortiGuard Labs společnosti Fortinet – CVE-2023-29308, CVE-2023-29309, CVE-2023-29310, CVE-2023-29311, CVE-2023-29312, CVE-2023-29313, CVE-2023-29314, CVE-2023-29315, CVE-2023-29316, CVE-2023-29317, CVE-2023-29318, CVE-2023-29319

Poznámka:

Společnost Adobe doporučuje aktualizovat verzi ColdFusion JDK/JRE LTS na nejnovější verzi aktualizace. Zkontrolujte podporovanou verzi JDK v níže uvedeném přehledu podpory k aplikaci ColdFusion.

Přehled podpory k aplikaci ColdFusion:

CF2018: https://helpx.adobe.com/pdf/coldfusion2018-support-matrix.pdf

CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf

CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf

Instalace aktualizace aplikace ColdFusion bez instalace příslušné aktualizace prostředí JDK k zabezpečení serveru NESTAČÍ. Podrobnosti naleznete v technických poznámkách.

Společnost Adobe také zákazníkům doporučuje, aby použili nastavení konfigurace zabezpečení popsané na stránce Zabezpečení aplikace ColdFusion a dále si přečetli informace v příslušné příručce týkající se uzamčení.   

Požadavky prostředí ColdFusion JDK

COLDFUSION 2023 (verze 2023.0.0.330468) a vyšší
Pro aplikační servery

U instalací JEE nastavte příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**“ v příslušném spouštěcím souboru v závislosti na typu používaného aplikačního serveru.

Například:
Aplikační server Apache Tomcat: upravte JAVA_OPTS v souboru „Catalina.bat/sh“
Aplikační server WebLogic: upravte JAVA_OPTIONS v souboru „startWeblogic.cmd“
Aplikační server WildFly/EAP: upravte JAVA_OPTS v souboru „standalone.conf“
Nastavte příznaky JVM v instalaci JEE aplikace ColdFusion, nikoli v samostatné instalaci.

COLDFUSION 2021 (Verze 2021.0.0.323925) a vyšší

Pro aplikační servery  

U instalací JEE nastavte příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**“

v příslušném spouštěcím souboru v závislosti na typu používaného aplikačního serveru.

Například:  

Na aplikačním serveru Apache Tomcat: Upravte parametr JAVA_OPTS v souboru „Catalina.bat/sh“.

Na aplikačním serveru WebLogic: Upravte parametr JAVA_OPTIONS v souboru „startWeblogic.cmd“.

Na aplikačním serveru WildFly/EAP: Upravte parametr JAVA_OPTS v souboru „standalone.conf“.

Příznaky JVM nastavujte u instalace JEE aplikace ColdFusion, nikoliv u samostatné instalace.  

COLDFUSION 2018 HF1 a vyšší  