ID bollettino
Ultimo aggiornamento il
22 ott 2022
Aggiornamenti di sicurezza disponibili per Adobe ColdFusion | APSB22-44
|
|
Data di pubblicazione |
Priorità |
|
APSB22-44 |
11 ottobre 2022 |
3 |
Riepilogo
Adobe ha rilasciato alcuni aggiornamenti di sicurezza per ColdFusion, versioni 2021 e 2018. Questi aggiornamenti risolvono vulnerabilità critiche, importanti e moderate che potrebbero causare l'esecuzione di codice arbitrario, la scrittura arbitraria del file system, l'aggiramento delle funzioni di sicurezza e l'acquisizione illecita di privilegi.
Versioni interessate
|
Prodotto |
Numero aggiornamento |
Piattaforma |
|
ColdFusion 2018 |
Aggiornamento 14 e versioni precedenti |
Tutte |
|
ColdFusion 2021 |
Aggiornamento 4 e versioni precedenti |
Tutte |
Soluzione
Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:
|
Prodotto |
Versione aggiornata |
Piattaforma |
Livello di priorità |
Disponibilità |
|---|---|---|---|---|
|
ColdFusion 2018 |
Aggiornamento 15 |
Tutte |
3 |
|
|
ColdFusion 2021 |
Aggiornamento 5 |
Tutte |
3 |
Nota:
Adobe consiglia di aggiornare ColdFusion JDK/JRE all'ultima versione di LTS per JDK 11. L'applicazione dell'aggiornamento di ColdFusion senza un aggiornamento del JDK corrispondente NON garantirà la protezione del server. Consultare le note tecniche necessarie per ulteriori informazioni.
Adobe consiglia inoltre ai clienti di applicare le impostazioni di configurazione della protezione descritte nella pagina sulla sicurezza di ColdFusion, nonché di consultare la relativa Guida alla protezione.
Dettagli della vulnerabilità
|
Categoria della vulnerabilità |
Impatto della vulnerabilità |
Gravità |
Punteggio base CVSS |
Codici CVE |
|
|
Overflow buffer basato su stack (CWE-121) |
Esecuzione di codice arbitrario |
Critica |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35710 |
|
Overflow buffer basato su stack (CWE-122) |
Esecuzione di codice arbitrario |
Critica |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35711 |
|
Overflow buffer basato su stack (CWE-121) |
Esecuzione di codice arbitrario |
Critica |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35690 |
|
Overflow buffer basato su stack (CWE-122) |
Esecuzione di codice arbitrario |
Critica |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35712 |
|
Limitazione non corretta di un percorso a una directory con restrizioni ("Path Traversal") (CWE-22) |
Esecuzione di codice arbitrario |
Critica |
8.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38418 |
|
Restrizione illecita del riferimento alle entità XML esterne ("XXE") (CWE-611) |
Lettura di file system arbitraria |
Importante |
5.9 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-38419 |
|
Utilizzo di credenziali hard-coded (CWE-798) |
Acquisizione illecita di privilegi |
Importante |
6.8 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H |
CVE-2022-38420 |
|
Limitazione non corretta di un percorso a una directory con restrizioni ("Path Traversal") (CWE-22) |
Esecuzione di codice arbitrario |
Importante |
6.6 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38421 |
|
Esposizione delle informazioni (CWE-200) |
Aggiramento della funzione di sicurezza |
Importante |
5.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2022-38422 |
|
Limitazione non corretta di un percorso a una directory con restrizioni ("Path Traversal") (CWE-22) |
Aggiramento della funzione di sicurezza |
Moderata |
4.4 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-38423 |
|
Limitazione non corretta di un percorso a una directory con restrizioni ("Path Traversal") (CWE-22) |
Scrittura di file system arbitraria |
Critica |
7,2 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38424 |
|
|
|
Importante |
7,5
|
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-42340 |
|
Restrizione illecita del riferimento alle entità XML esterne ("XXE") (CWE-611) |
|
Importante
|
7,5
|
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-42341 |
Ringraziamenti
Adobe desidera ringraziare le seguenti persone per aver segnalato i relativi problemi e per aver collaborato con Adobe per aiutare a proteggere i nostri clienti
- rgod in collaborazione con Trend Micro Zero Day Initiative - CVE-2022-35710, CVE-2022-35711, CVE-2022-35690, CVE-2022-35712, CVE-2022-38418, CVE-2022-38419, CVE-2022-38420, CVE-2022-38421, CVE-2022-38422, CVE-2022-38423, CVE-2022-38424
- reillyb - CVE-2022-42340, CVE-2022-42341
Requisiti JDK di ColdFusion
COLDFUSION 2021 (versione 2021.0.0.323925) e versioni successive
Per i server di applicazioni
Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", nel relativo file di avvio in base al tipo di server applicazioni in uso.
Ad esempio:
Server applicazioni Apache Tomcat, modifica JAVA_OPTS nel file 'Catalina.bat/sh'
Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'
Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'
Imposta i flag JVM su una installazione JEE di ColdFusion, non una installazione standalone.
COLDFUSION 2018 HF1 e versioni successive
Per i server di applicazioni
Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", nel relativo file di avvio in base al tipo di server applicazioni in uso.
Ad esempio:
Server applicazioni Apache Tomcat, modifica JAVA_OPTS nel file 'Catalina.bat/sh'
Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'
Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'
Imposta i flag JVM su una installazione JEE di ColdFusion, non una installazione standalone.
Per ulteriori informazioni visita https://helpx.adobe.com/it/security.html o invia un'e-mail a PSIRT@adobe.com
