Bollettino sulla sicurezza di Adobe

Cerca

Ultimo aggiornamento il 19 mag 2022

Aggiornamenti di sicurezza disponibili per Adobe ColdFusion | APSB22-22

ID bollettino	Data di pubblicazione	Priorità
APSB22-22	10 maggio 2022	3

Riepilogo

Adobe ha rilasciato alcuni aggiornamenti di sicurezza per ColdFusion, versioni 2021 e 2018. Questi aggiornamenti risolvono una vulnerabilità importante  che potrebbe portare all'esecuzione di codice arbitrario.
  

Versioni interessate

Prodotto	Numero aggiornamento	Piattaforma
ColdFusion 2018	Aggiornamento 13 e versioni precedenti	Tutte
ColdFusion 2021	Versione 3 e versioni precedenti	Tutte

Soluzione

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

Prodotto	Versione aggiornata	Piattaforma	Livello di priorità	Disponibilità
ColdFusion 2018	Aggiornamento 14	Tutte	3	Nota tecnica
ColdFusion 2021	Aggiornamento 4	Tutte	3	Nota tecnica

Nota:

Adobe consiglia di aggiornare ColdFusion JDK/JRE all'ultima versione delle versioni LTS per 1.8 e JDK 11. L'applicazione dell'aggiornamento di ColdFusion senza un aggiornamento del JDK corrispondente NON garantirà la protezione del server. Consultare le note tecniche necessarie per ulteriori informazioni.

Adobe consiglia inoltre ai clienti di applicare le impostazioni di configurazione della protezione descritte nella pagina sulla sicurezza di ColdFusion, nonché di consultare la relativa Guida alla protezione.   

Dettagli della vulnerabilità

Categoria della vulnerabilità	Impatto della vulnerabilità	Gravità	Punteggio base CVSS	Vettore CVSS	Codici CVE
Cross-site scripting (riflesso XSS) (CWE-79)	Esecuzione di codice arbitrario	Importante	5,4	CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N	CVE-2022-28818

Ringraziamenti

Adobe desidera ringraziare le seguenti persone per aver segnalato i relativi problemi e per aver collaborato con Adobe per aiutare a proteggere i nostri clienti

UB3RSiCK (ub3rsick) - CVE-2022-28818

Requisiti JDK di ColdFusion

COLDFUSION 2021 (versione 2021.0.0.323925) e versioni successive

Per i server di applicazioni  

Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", nel relativo file di avvio in base al tipo di server applicazioni in uso.  

Ad esempio:  

Server applicazioni Apache Tomcat, modifica JAVA_OPTS nel file 'Catalina.bat/sh'

Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'

Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'

Imposta i flag JVM su una installazione JEE di ColdFusion, non una installazione standalone.  

COLDFUSION 2018 HF1 e versioni successive  