Adoben tietoturvatiedote

Hae

Päivitetty viimeksi 2. elokuuta 2023

Adobe ColdFusionin tietoturvapäivitykset | APSB23-47

Tiedotteen tunnus	Julkaisupäivä	Prioriteetti
APSB23-47	19. heinäkuuta 2023	1

Yhteenveto

Adobe on julkaissut tietoturvapäivityksiä ColdFusion-versioille 2023, 2021 ja 2018. Nämä päivitykset korjaavat kriittisiä  ja kohtalaisia haavoittuvuuksia, jotka voivat johtaa mielivaltaisen koodin suorittamiseen ja tietoturvaominaisuuksien ohitukseen

Adobe on tietoinen siitä, että haavoittuvuutta CVE-2023-38205 on hyödynnetty rajoitetuissa hyökkäyksissä, jotka kohdistuvat Adobe ColdFusioniin.

Versiot

Tuote	Päivityksen numero	Ympäristö
ColdFusion 2023	Päivitys 2 ja aiemmat versiot	Kaikki
ColdFusion 2021	Päivitys 8 ja aiemmat versiot	Kaikki
ColdFusion 2018	Päivitys 18 ja aiemmat versiot	Kaikki

Ratkaisu

Adobe luokittelee päivitykset seuraavan prioriteettiluokituksen mukaisesti ja suosittelee käyttäjiä päivittämään asennuksensa uusimpaan versioon:

Tuote	Päivitetty versio	Ympäristö	Prioriteettiluokitus	Saatavuus
ColdFusion 2023	Päivitys 3	Kaikki	1	Technote-tiedote
ColdFusion 2021	Päivitys 9	Kaikki	1	Technote-tiedote
ColdFusion 2018	Päivitys 19	Kaikki	1	Technote-tiedote

Huomautus:

Jos saat tulevaisuudessa tietää paketista, jossa on deserialisointihaavoittuvuus, käytä serialfilter.txt-tiedostoa sijainnista <cfhome>/lib asettaaksesi paketin kieltolistalle (esim: !org.jgroups.**;)

Lisätietoja haavoittuvuuksista

Haavoittuvuusluokka	Haavoittuvuuden vaikutus	Vakavuus	CVSS-peruspisteet	CVSS-vektori	CVE-numerot
Ei-luotettavien tietojen sarjoituksen purkaminen (CWE-502)	Mielivaltaisen koodin suoritus	Kriittinen	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2023-38204
Sopimaton käyttöoikeuksien valvonta (CWE-284)	Tietoturvaominaisuuden ohitus	Kriittinen	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2023-38205
Sopimaton käyttöoikeuksien valvonta (CWE-284)	Tietoturvaominaisuuden ohitus	Kohtalainen	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	CVE-2023-38206

Kiitokset:

Adobe haluaa kiittää seuraavia tutkijoita tästä ongelmasta ilmoittamisesta ja yhteistyöstä Adoben kanssa sen asiakkaiden suojaamisessa:   

Rahul Maini, Harsh Jaiswal, ProjectDiscovery Research – CVE-2023-38204
MoonBack (ipplus360) – CVE-2023-38204
Stephen Fewer – CVE-2023-38205
Brian Reilly – CVE-2023-38206

HUOMAUTUS: Adobella on HackerOnessa yksityinen, vain kutsutuille tarkoitettu buginmetsästysohjelma. Jos olet kiinnostunut työskentelemään Adoben kanssa ulkopuolisena tietoturvatutkijana, täytä tämä lomake, niin saat ohjeet.

Kiitokset

Adobe haluaa kiittää seuraavaa tutkijaa tästä ongelmasta ilmoittamisesta ja yhteistyöstä Adoben kanssa sen asiakkaiden suojaamisessa:

Yonghui Han, Fortinetin FortiGuard Labs – CVE-2023-29308, CVE-2023-29309, CVE-2023-29310, CVE-2023-29311, CVE-2023-29312, CVE-2023-29313, CVE-2023-29314, CVE-2023-29315, CVE-2023-29316, CVE-2023-29317, CVE-2023-29318, CVE-2023-29319

Huomautus:

Adobe suosittelee ColdFusion JDK/JRE LTS -version päivittämistä uusimpaan päivitysversioon. Tarkista alla olevasta ColdFusion-tuen taulukosta tuettu JDK-versio.

ColdFusion-tukitaulukko:

CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf

CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf

CF2018: https://helpx.adobe.com/pdf/coldfusion2018-support-matrix.pdf

ColdFusion-päivityksen käyttöönotto ilman vastaavaa JDK-päivitystä EI varmista palvelimen suojausta. Katso lisätietoja asiaankuuluvista Technote-tiedotteista.

Adobe suosittelee myös, että kaikki asiakkaat ottavat käyttöön ColdFusionin tietoturvasivulla esitellyt tietoturva-asetukset ja tutustuvat vastaaviin lukitusoppaisiin.

ColdFusion JDK -vaatimus

COLDFUSION 2023 (versio 2023.0.0.330468) ja uudemmat
Sovelluspalvelimia varten

JEE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.

Esimerkiksi:
Apache Tomcat -sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”Catalina.bat/sh”
WebLogic-sovelluspalvelin: muokkaa kohdetta JAVA_OPTIONS tiedostossa ”startWeblogic.cmd”
WildFly/EAP-sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”standalone.conf”
Aseta JVM-liput ColdFusionin JEE-asennuksessa, ei erillisasennuksessa.

COLDFUSION 2021 (versiot 2021.0.0.323925) ja uudemmat

Sovelluspalvelimia varten  

JEE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**”

vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.

Esimerkiksi:  

Muokkaa Apache Tomcat -sovelluspalvelimella JAVA_OPTS-kohdetta ”Catalina.bat/sh”-tiedostossa

Muokkaa WebLogic-sovelluspalvelimella JAVA_OPTIONS-kohdetta ”startWeblogic.cmd”-tiedostossa

Muokkaa WildFly/EAP-sovelluspalvelimella JAVA_OPTS-kohdetta ”standalone.conf”-tiedostossa

Määritä JVM-liput ColdFusionin JEE-asennuksessa, mutta ei erillisasennuksessa.  

COLDFUSION 2018 HF1 ja uudemmat  