安全性公告 ID
上次更新時間
2021年4月29日
發佈 ColdFusion 的安全性更新 | APSB20-16
|
|
發佈日期 |
優先順序 |
|
APSB20-16 |
2020 年 3 月 17 日 |
2 |
摘要
Adobe 已推出 ColdFusion 2016 和 2018 版的安全性更新。這些更新旨在解決可能導致系統任意執行程式碼的多項重大弱點。
受影響的版本
|
產品 |
更新編號 |
平台 |
|
ColdFusion 2016 |
更新 13 和舊版 |
全部 |
|
ColdFusion 2018 |
更新 7 和舊版 |
全部 |
註解：
與建議的鎖定安裝程式一同部署的 ColdFusion 伺服器不會受這些弱點影響。
解決方法
Adobe 將這些更新歸類為以下的優先順序分級，並建議使用者將其安裝更新為最新版本：
註解：
Adobe 建議您將 ColdFusion JDK/JRE 更新到適用於 1.8 和 JDK 11 的 LTS 最新版本。在沒有相應 JDK 更新的情況下套用 ColdFusion 更新將無法保護伺服器的安全。 如需詳細資訊，請參閱相關的技術說明。
JEE 應用程式伺服器：
具有 JEE ColdFusion 部署 (例如 Tomcat、JBoss EAP) 的使用者可參閱 /content/help/tw/zh-Hant/coldfusion/kb/coldfusion-2018-update-8.html#jee 中的說明
ColdFusion 11
我們建議 ColdFusion 11 使用者執行 /content/help/tw/zh-Hant/coldfusion/kb/coldfusion-11-mitigation-steps.html 中所列的緩解步驟
Adobe 也建議客戶套用 ColdFusion 安全性頁面所列的安全性組態設定，並檢閱個別的鎖定指南。
弱點詳細資料
|
弱點類別 |
弱點影響 |
嚴重性 |
CVE 編號 |
|
遠端讀取檔案 |
從 ColdFusion 安裝目錄任意讀取檔案 |
重大 |
CVE-2020-3761 |
|
含括各種檔案 |
任意執行位於 webroot 或其子目錄中的檔案 |
重大 |
CVE-2020-3794 |
鳴謝
ColdFusion JDK 需求
COLDFUSION 2018 HF1 及更高版本
針對應用程式伺服器
在安裝 JEE 時，請根據使用的應用程式伺服器類型，在相應的啟動檔案中，設定下列 JVM 旗標："-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**”。
例如:
Apache Tomcat 應用程式伺服器：編輯「Catalina.bat/sh」檔案中的 JAVA_OPTS
WebLogic 應用程式伺服器：編輯「startWeblogic.cmd」檔案中的 JAVA_OPTIONS
WildFly/EAP 應用程式伺服器：編輯「standalone.conf」檔案中的 JAVA_OPTS
請在與 ColdFusion 一起安裝而非獨立安裝的 JEE 上，設定 JVM 旗標.
COLDFUSION 2016 HF7 及更高版本
此更新要求 JDK 8u121 或更高版本的 ColdFusion。Adobe 建議您必須將 ColdFusion JDK/JRE 手動更新至最新版本。若您沒有更新 JDK/JRE，僅套用更新將無法為伺服器提供防護。
針對應用程式伺服器
此外，在安裝 JEE 時，請根據使用的應用程式伺服器類型，在相應的啟動檔案中，設定下列 JVM 旗標: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**"。
例如:
在 Apache Tomcat 應用程式伺服器上，編輯「Catalina.bat/sh」檔案中的 JAVA_OPTS。
在 WebLogic 應用程式伺服器上，編輯「startWeblogic.cmd」檔案中的 JAVA_OPTIONS。
在 WildFly/EAP 應用程式上，編輯「standalone.conf」檔案中的 JAVA_OPTS。
請在與 ColdFusion 一起安裝而非獨立安裝的 JEE 上，設定 JVM 旗標
Adobe 免責聲明
授權協議
使用 Adobe Incorporated 或其子公司 (下稱「Adobe」) 之軟體，即代表您同意遵守以下條款及條件。若您不同意該條款及條件，請勿使用本軟體。安裝或下載特定軟體時，隨附之使用者授權合約條款，將取代以下的條款。
Adobe 軟體產品的出口及再出口，皆受到美國出口管理規範 (US Export Administration Regulations) 之管控，且該軟體不得出口或再出口至古巴、伊朗、北韓、敘利亞和烏克蘭的克里米亞地區，或其他任何美國禁止通商的國家。另外，Adobe 軟體也不得分發給列在「拒絕往來名單」(Table of Denial Orders)、「實體清單」 (Entity List) 或「特別指定國民名單」(List of Specially Designated Nationals) 上之人士。
下載或使用 Adobe 軟體產品代表您保證自己並非古巴、伊朗、北韓、敘利亞和烏克蘭的克里米亞地區，或其他任何美國禁止通商的國家之國民，且您未被列在「拒絕往來名單」(Table of Denial Orders)、「實體清單」(Entity List) 或「特別指定國民名單」(List of Specially Designated Nationals) 上。若該軟體專為與 Adobe 發行之應用程式軟體產品 (下稱「主應用程式」) 搭配使用，Adobe 會授與您一份非專屬授權書，與主應用程式一起使用該軟體，但您必須擁有 Adobe 對主應用程式之有效授權書。除以下規定，該軟體的授權尚受到 Adobe 對主應用程式的使用者授權合約之條款及條件的限制。
不為瑕疵擔保之聲明：您同意 Adobe 未對本軟體做出明示擔保，且同意本軟體僅以「現狀」提供，不含任何擔保。Adobe 不為本軟體之瑕疵作出明示或默示擔保，包含但不限於所有適合特定用途、適售性、適售品質或不侵害第三方權益之保證。由於部分州或司法管轄區不允許排除默示擔保，因此上述限制可能不適用於您。
責任限額：Adobe 無需在任何情況下對您無法使用、業務中斷，或任何直接、間接、特別、附隨或衍生性損害負責 (包括利潤損失)，無論合約、侵權行為 (包括疏忽)、嚴格產品責任或其他的行為形式亦同，即使 Adobe 已預先獲知可能發生此等損害，仍無責任。由於部分州或司法管轄區不允許排除或限制突發或附隨損害，因此上述限制可能不適用於您。
