Tiedotteen tunnus
Päivitetty viimeksi
19. elokuuta 2026
Tietoturvapäivitykset saatavilla Adobe ColdFusionille | APSB26-90
|
|
Julkaisupäivä |
Prioriteetti |
|
APSB26-90 |
11. elokuuta 2026 |
1 |
Yhteenveto
Adobe on julkaissut tietoturvapäivityksen ColdFusionin versioille 2025 ja 2023. Tämä päivitys korjaa kriittisiä ja tärkeitä haavoittuvuuksia, jotka voivat johtaa mielivaltaisen koodin suoritukseen, käyttöoikeuksien laajennukseen, tietoturvaominaisuuksien ohittamiseen, sovelluksen palvelunestoon ja muistivuotoon.
Adobe ei ole tietoinen mistään valloillaan olevista ja toimivista hyödyntämis- tai hyväksikäyttötavoista, jotka koskevat tässä päivityksessä käsiteltyjä asioita.
Versiot
|
Tuote |
Päivityksen numero |
Ympäristö |
|
ColdFusion 2025 |
2025.0.11 ja aiemmat versiot |
Kaikki |
|
ColdFusion 2023 |
2023.0.22 ja aiemmat versiot |
Kaikki |
Ratkaisu
Adobe luokittelee päivitykset seuraavan prioriteettiluokituksen mukaisesti ja suosittelee käyttäjiä päivittämään asennuksensa uusimpaan versioon:
|
Tuote |
Päivitetty versio |
Ympäristö |
Prioriteettiluokitus |
Saatavuus |
|---|---|---|---|---|
|
ColdFusion 2025 |
2025.0.12 |
Kaikki |
1 |
|
|
ColdFusion 2023 |
2023.0.23 |
Kaikki |
1 |
Muistiinpano
Tietoturvasyistä suosittelemme vahvasti käyttämään uusinta mysql-java-liitintä. Lisätietoja sen käytöstä on osoitteessa osoitteessa: https://helpx.adobe.com/fi/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html
Katso päivitetystä sarjasuodattimen dokumentaatiosta lisätietoja suojautumisesta suojaamattomia deserialisointihyökkäyksiä vastaan: https://helpx.adobe.com/fi/coldfusion/kb/coldfusion-serialfilter-file.html
Lisätietoja haavoittuvuuksista
| Haavoittuvuusluokka | Haavoittuvuuden vaikutus | Vakavuus | CVSS-peruspisteet | CVSS-vektori | CVE-numero |
Käyttöjärjestelmän komennossa käytettyjen erikoiselementtien virheellinen neutralointi (”Käyttöjärjestelmän komennon injektointi”) (CWE-78) |
Mielivaltaisen koodin suoritus |
Kriittinen |
10.0 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-48362 |
Dynaamisesti suoritettavan koodin direktiivien virheellinen neutralointi ('Eval-injektio') (CWE-95) |
Mielivaltaisen koodin suoritus |
Kriittinen |
9.9 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-48273 |
Virheellinen valtuutus (CWE-863) |
Sovelluksen palvelunesto |
Kriittinen |
9.6 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-71384 |
Sivustojen välinen skriptaus (XSS) (CWE-79) |
Mielivaltaisen koodin suoritus |
Kriittinen |
8.8 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
CVE-2026-71386 |
Virheellinen syötteen tarkistus (CWE-20) |
Käyttöoikeuksien laajennus |
Kriittinen |
8.7 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N |
CVE-2026-21273 |
Virheellinen valtuutus (CWE-863) |
Mielivaltaisen koodin suoritus |
Kriittinen |
8.8 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-71387 |
Virheellinen valtuutus (CWE-863) |
Tietoturvaominaisuuden ohitus |
Kriittinen |
8.4 |
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-71385 |
Pysyväiskoodatun salausavaimen käyttö (CWE-321) |
Tietoturvaominaisuuden ohitus |
Kriittinen |
8.2 |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N |
CVE-2026-34635 |
Kekopohjainen puskurin ylivuoto (CWE-122) |
Mielivaltaisen koodin suoritus |
Kriittinen |
8.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-48440 |
Virheellinen syötteen tarkistus (CWE-20) |
Tietoturvaominaisuuden ohitus |
Kriittinen |
8.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
CVE-2026-21279 |
Virheellinen valtuutus (CWE-863) |
Käyttöoikeuksien laajennus |
Kriittinen |
7.8 |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-25652 |
Rikkinäisen tai riskialtiin salausalgoritmin käyttö (CWE-327) |
Muistivuoto |
Kriittinen |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2026-48386 |
Virheellinen valtuutus (CWE-863) |
Tietoturvaominaisuuden ohitus |
Tärkeää |
7.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
CVE-2026-71383 |
Virheellinen valtuutus (CWE-863) |
Sovelluksen palvelunesto |
Tärkeää |
6.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H |
CVE-2026-48375 |
Tulosteen virheellinen koodaus tai merkintä (CWE-116) |
Tietoturvaominaisuuden ohitus |
Tärkeää |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
CVE-2026-48376 |
Virheellinen syötteen tarkistus (CWE-20) |
Tietoturvaominaisuuden ohitus |
Tärkeää |
4.9 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H |
CVE-2026-48384 |
Muistiinpano
11. elokuuta 2026 alkaen Adobe voi määrittää yhden CVE-tunnisteen sisäisesti löydetyille haavoittuvuuksille, joilla on sama vakavuusluokitus ja CWE-kategoria, kun julkaisu sisältää järjestelmällisiä korjauksia.
Kiitokset:
AnirudhAnand (a0xnirudh) – CVE-2026-71386
Matan Sandori (matans1) — CVE-2026-71384
Brennan D St. John (brennanstjohn) — CVE-2026-71387
Muistiinpano
Adobe suosittelee tietoturvatoimena ColdFusion JDK/JRE LTS -version päivittämistä uusimpaan päivitysversioon. ColdFusionin lataussivu päivitetään säännöllisesti siten, että se sisältää uusimmat Java-asennusohjelmat asennuksesi tukemaa JDK-versiota varten alla olevien taulukoiden mukaisesti.
Ulkoisen JDK:n käyttöä koskevia ohjeita on artikkelissa ColdFusionin JVM:n vaihto.
Adobe suosittelee myös, että kaikki ottavat käyttöön ColdFusionin tietoturvadokumentaatiossa esitellyt tietoturva-asetukset ja tutustuvat vastaaviin lukitusoppaisiin.
ColdFusion JDK -vaatimus
COLDFUSION 2025 (versio 2023.0.0.331385) ja uudemmat
Sovelluspalvelimia varten
EE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; ” vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.
Esimerkiksi:
Apache Tomcat -sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”Catalina.bat/sh”
WebLogic-sovelluspalvelin: muokkaa kohdetta JAVA_OPTIONS tiedostossa ”startWeblogic.cmd”
WildFly/EAP-sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”standalone.conf”
Aseta JVM-liput ColdFusionin JEE-asennuksessa, ei erillisasennuksessa.
COLDFUSION 2023 (versio 2023.0.0.330468) ja uudemmat
Sovelluspalvelimia varten
EE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;;” vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.
Esimerkiksi:
Apache Tomcat -sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”Catalina.bat/sh”
WebLogic-sovelluspalvelin: muokkaa kohdetta JAVA_OPTIONS tiedostossa ”startWeblogic.cmd”
WildFly/EAP-sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”standalone.conf”
Aseta JVM-liput ColdFusionin JEE-asennuksessa, ei erillisasennuksessa.
COLDFUSION 2021 (versiot 2021.0.0.323925) ja uudemmat
Sovelluspalvelimia varten
JEE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”
vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.
Esimerkiksi:
Muokkaa Apache Tomcat -sovelluspalvelimella JAVA_OPTS-kohdetta ”Catalina.bat/sh”-tiedostossa
Muokkaa WebLogic-sovelluspalvelimella JAVA_OPTIONS-kohdetta ”startWeblogic.cmd”-tiedostossa
Muokkaa WildFly/EAP-sovelluspalvelimella JAVA_OPTS-kohdetta ”standalone.conf”-tiedostossa
Määritä JVM-liput ColdFusionin JEE-asennuksessa, mutta ei erillisasennuksessa.
Saat lisätietoja siirtymällä osoitteeseen https://helpx.adobe.com/fi/security.html tai lähettämällä sähköpostia osoitteeseen PSIRT@adobe.com
