Bezpečnostní bulletin společnosti Adobe

Hledat

Naposledy aktualizováno 24. 4. 2025

Zveřejnění aktualizací zabezpečení pro aplikaci Adobe ColdFusion | APSB25-15

ID bulletinu	Datum zveřejnění	Priorita
APSB25-15	8. dubna 2025	1

Shrnutí

Společnost Adobe vydala aktualizace zabezpečení pro aplikaci ColdFusion verze 2025, 2023 a 2021. Tyto aktualizace řeší kritické a důležité chyby zabezpečení, které by mohly vést ke svévolnému čtení systému souborů, svévolnému spuštění kódu a obcházení bezpečnostních funkcí.

Společnost Adobe neví o žádném zneužití chyb vyřešených v těchto aktualizací v reálném prostředí.

Postižené verze

Produkt	Číslo aktualizace	Platforma
ColdFusion 2025	Sestavení 331385	Vše
ColdFusion 2023	Aktualizace 12 a starší verze	Vše
ColdFusion 2021	Aktualizace 18 a starší verze	Vše

Řešení

Společnost Adobe označuje tyto aktualizace následujícími úrovněmi priority a doporučuje uživatelům aktualizovat produkty na nejnovější verze:

Produkt	Aktualizovaná verze	Platforma	Úroveň priority	Dostupnost
ColdFusion 2025	Aktualizace 1	Vše	1	Technická poznámka
ColdFusion 2023	Aktualizace 13	Vše	1	Technická poznámka
ColdFusion 2021	Aktualizace 19	Vše	1	Technická poznámka

Poznámka:

Další podrobnosti o ochraně proti útokům využívajícím nezabezpečenou deserializaci Wddx najdete na stránce https://helpx.adobe.com/cz/coldfusion/kb/coldfusion-serialfilter-file.html

Podrobnosti o chybě zabezpečení

Kategorie chyby zabezpečení	Dopad chyby zabezpečení	Závažnost	Základní hodnocení CVSS	Vektor CVSS	Čísla CVE
Nesprávné ověření vstupu (CWE-20)	Nahodilé čtení souborového systému	Kritická	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-24446
Deserializace nedůvěryhodných dat (CWE-502)	Svévolné spuštění kódu	Kritická	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-24447
Nesprávné řízení přístupu (CWE-284)	Nahodilé čtení souborového systému	Kritická	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30281
Nesprávné ověření (CWE-287)	Svévolné spuštění kódu	Kritická	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30282
Deserializace nedůvěryhodných dat (CWE-502)	Svévolné spuštění kódu	Kritická	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30284
Deserializace nedůvěryhodných dat (CWE-502)	Svévolné spuštění kódu	Kritická	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30285
Nesprávná neutralizace speciálních prvků použitých v příkazu operačního systému („injekce příkazu operačního systému“) (CWE-78)	Svévolné spuštění kódu	Kritická	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30286
Nesprávné ověření (CWE-287)	Svévolné spuštění kódu	Kritická	8.1	CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30287
Nesprávné řízení přístupu (CWE-284)	Obcházení bezpečnostních funkcí	Kritická	7.8	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30288
Nesprávná neutralizace speciálních prvků použitých v příkazu operačního systému („injekce příkazu operačního systému“) (CWE-78)	Svévolné spuštění kódu	Kritická	7.5	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N	CVE-2025-30289
Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22)	Obcházení bezpečnostních funkcí	Kritická	8.7	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H	CVE-2025-30290
Expozice informací (CWE-200)	Obcházení bezpečnostních funkcí	Důležitá	6.2	CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30291
Skriptování mezi weby (reflektovaný XSS) (CWE-79)	Svévolné spuštění kódu	Důležitá	6.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	CVE-2025-30292
Nesprávné ověření vstupu (CWE-20)	Obcházení bezpečnostních funkcí	Důležitá	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	CVE-2025-30293
Nesprávné ověření vstupu (CWE-20)	Obcházení bezpečnostních funkcí	Důležitá	6.5	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30294

Poděkování:

Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:   

nbxiglk – CVE-2025-24446, CVE-2025-30281, CVE-2025-30282, CVE-2025-30284, CVE-2025-30285, CVE-2025-30286, CVE-2025-30289
Brian Reilly (reillyb) – CVE-2025-24447, CVE-2025-30288, CVE-2025-30290, CVE-2025-30291, CVE-2025-30292, CVE-2025-30293, CVE-2025-30294
cioier – CVE-2025-30287

POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne veřejný program Bug Bounty. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení, podívejte se na stránku https://hackerone.com/adobe.

Poznámka:

Společnost Adobe doporučuje z bezpečnostních důvodů aktualizovat verzi aplikace ColdFusion JDK/JRE LTS na nejnovější verzi aktualizace. Stránky ke stažení aplikace ColdFusion se pravidelně aktualizují tak, aby obsahovaly nejnovější instalační programy Javy pro verzi JDK, kterou vaše instalace podporuje, a to podle níže uvedených přehledů podpory.

Pokud si chcete projít pokyny, jak používat externí verzi JDK, projděte si článek věnovaný změně příznaku JVM aplikace ColdFusion.

Společnost Adobe také doporučuje použít nastavení konfigurace zabezpečení zahrnuté v dokumentaci Zabezpečení aplikace ColdFusion a přečíst si informace v příslušné příručce týkající se uzamčení.   

Požadavky prostředí ColdFusion JDK

COLDFUSION 2025 (verze 2023.0.0.331385) a vyšší
Pro aplikační servery

U instalací JEE nastavte příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**“ v příslušném spouštěcím souboru v závislosti na typu používaného aplikačního serveru.

Například:
Aplikační server Apache Tomcat: Upravte JAVA_OPTS v souboru „Catalina.bat/sh“
Aplikační server WebLogic: Upravte JAVA_OPTIONS v souboru „startWeblogic.cmd“
Aplikační server WildFly/EAP: Upravte JAVA_OPTS v souboru „standalone.conf“
Nastavte příznaky JVM v instalaci JEE aplikace ColdFusion, nikoli v samostatné instalaci.

COLDFUSION 2023 (verze 2023.0.0.330468) a vyšší
Pro aplikační servery

U instalací JEE nastavte příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;“ v příslušném spouštěcím souboru v závislosti na typu používaného aplikačního serveru.

COLDFUSION 2021 (verze 2021.0.0.323925) a vyšší

Pro aplikační servery  

U instalací JEE nastavte příznak JVM na hodnotu „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;“

v příslušném spouštěcím souboru v závislosti na typu používaného aplikačního serveru.

Například:  

Na aplikačním serveru Apache Tomcat: Upravte parametr JAVA_OPTS v souboru „Catalina.bat/sh“.  

Na aplikačním serveru WebLogic:   Upravte parametr JAVA_OPTIONS v souboru „startWeblogic.cmd“.  

Na aplikačním serveru WildFly/EAP:   Upravte parametr JAVA_OPTS v souboru „standalone.conf“.  

Příznaky JVM nastavujte u instalace JEE aplikace ColdFusion, nikoliv u samostatné instalace.  

Další informace najdete na adrese https://helpx.adobe.com/cz/security.html nebo o ně zažádejte e-mailem na adrese PSIRT@adobe.com

Získejte pomoc rychleji a snáze

Nový uživatel?