Boletín de seguridad de Adobe

Fecha de publicación: 10 de mayo de 2016

Última actualización: 10 de junio de 2016

Identificador de vulnerabilidad: APSB16-16

Prioridad: 2

Números CVE: CVE-2016-1113, CVE-2016-1114, CVE-2016-1115

Plataforma: Todas las plataformas

Adobe ha lanzado revisiones de seguridad para las versiones 10, 11 y la versión de 2016 de ColdFusion. Estas revisiones solucionan un problema de validación de entradas (CVE-2016-1113), un problema de verificación de nombre de host con certificados de comodín (CVE-2016-1115), e incluyen una versión actualizada de la biblioteca de Apache Commons Collections para mitigar la deserialización Java (CVE-2016-1114).
Adobe recomienda que los clientes apliquen la revisión adecuada siguiendo las instrucciones que se proporcionan en la sección "Solución".

Adobe categoriza esta revisión de acuerdo con el siguiente nivel de prioridad y recomienda que los usuarios actualicen los programas a la versión más reciente:

Adobe recomienda a los clientes de ColdFusion que actualicen su instalación mediante las instrucciones que se proporcionan en la nota técnica correspondiente:

• ColdFusion (versión de 2016): http://helpx.adobe.com/es/coldfusion/kb/coldfusion-2016-update-1.html
• ColdFusion 11: http://helpx.adobe.com/es/coldfusion/kb/coldfusion-11-update-8.html
• ColdFusion 10: http://helpx.adobe.com/es/coldfusion/kb/coldfusion-10-update-19.html

Los clientes también deben aplicar los ajustes de configuración de seguridad de la página de seguridad de ColdFusion y consultar la guía de bloqueo correspondiente.

• Guía de bloqueo de ColdFusion (versión de 2016)
• Guía de bloqueo de ColdFusion 11 
• Guía de bloqueo de ColdFusion 10.

• Estas revisiones solucionan un importante problema de validación de entradas (CVE-2016-1113) que se puede utilizar para realizar ataques de secuencias de comandos en sitios cruzados.
• Estas revisiones incluyen una versión actualizada de la biblioteca de Apache Commons Collections para mitigar una importante vulnerabilidad de deserialización Java (CVE-2016-1114).
• Estas revisiones solucionan un problema de verificación de nombre de host moderado que afecta a los certificados de comodín (CVE-2016-1115).
  
  

Adobe desea dar las gracias a las siguientes personas y organizaciones por informar sobre estos problemas y por colaborar con Adobe para ayudarnos a proteger la seguridad de nuestros clientes:

• Andrew Bonstrom (CVE-2016-1113)
  
• Aaron Foote (CVE-2016-1114)
• Pete Freitag de Foundeo Inc (CVE-2016-1115)
  

10 de junio 2016: se ha agregado el agradecimiento a Aaron Foote por informar sobre CVE-2016-1114. 

Acuerdo de licencia

Al utilizar el software de Adobe Systems Incorporated o sus filiales ("Adobe"), aceptas los siguientes términos y condiciones. Si no estás de acuerdo con los siguientes términos y condiciones, no utilices el software. Los términos de un acuerdo de licencia de usuario final que acompañan a un archivo de software concreto después de la instalación o descarga del software sustituirán a los términos presentados a continuación.

La exportación y reexportación de productos de software Adobe están controladas por las leyes de exportación de los Estados Unidos y dicho software no debe exportarse ni reexportarse a Cuba, Irán, Iraq, Libia, Corea del Norte, Sudán, Siria o cualquier país al que los Estados Unidos someta a embargo. Además, el software Adobe no debe distribuirse entre personas de la tabla de denegación de pedidos, la lista de entidades o la lista de ciudadanos designados especialmente.

Al descargar o utilizar un producto de software de Adobe, certificas que no eres ciudadano de Cuba, Irán, Iraq, Libia, Corea del Norte, Sudán, Siria o cualquier país al que los Estados Unidos someta a embargo y que no eres una de las personas de la tabla de denegación de pedidos, de la lista de entidades ni de la lista de ciudadanos designados especialmente. Si el software está diseñado para utilizarlo con un producto de software de una aplicación (la "aplicación del host") publicado por Adobe, Adobe te garantiza una licencia no exclusiva para utilizar dicho software solo con la aplicación del host, siempre que poseas una licencia válida de Adobe para la aplicación del host. A excepción de lo establecido a continuación, se te otorga la licencia de dicho software según los términos y condiciones del Acuerdo de licencia de usuario final de Adobe que rigen el uso de la aplicación del host.

RENUNCIA A LAS GARANTÍAS: ACEPTAS QUE ADOBE NO TE HA CONCEDIDO NINGUNA GARANTÍA EXPRESA CON RESPECTO AL SOFTWARE Y QUE SE TE PROPORCIONA EL SOFTWARE "TAL CUAL" SIN GARANTÍAS DE NINGUNA CLASE. ADOBE NIEGA TODA GARANTÍA CON RESPECTO AL SOFTWARE, EXPRESA O IMPLÍCITA, INCLUIDA, SIN LIMITACIONES, CUALQUIER GARANTÍA IMPLÍCITA DE ADECUACIÓN A UN FIN CONCRETO, LA COMERCIALIDAD, LA CALIDAD DE COMERCIALIDAD O LA NO VIOLACIÓN DE DERECHOS DE TERCEROS. Algunos estados o jurisdicciones no permiten la exclusión de garantías implícitas, por lo que es posible que las limitaciones anteriores no se te apliquen.

LIMITACIÓN DE RESPONSABILIDAD: EN NINGÚN CASO ADOBE SE HARÁ RESPONSABLE DE UNA PÉRDIDA DE USO, INTERRUPCIÓN DEL NEGOCIO O CUALQUIER DAÑO DIRECTO, INDIRECTO, ESPECIAL, ACCIDENTAL O CONSECUENTE DE NINGUNA CLASE (INCLUIDA LA PÉRDIDA DE BENEFICIOS), INDEPENDIENTEMENTE DEL MODO DE ACTUACIÓN Y DE QUE ESTE SE INCLUYA EN EL CONTRATO, AGRAVIO (INCLUIDA LA NEGLIGENCIA), RESPONSABILIDAD ESTRICTA DEL PRODUCTO U OTROS, INCLUSO SI SE HA AVISADO A ADOBE DE LA POSIBILIDAD DE DICHOS DAÑOS. Algunos estados o jurisdicciones no permiten la exclusión o limitación de daños accidentales o consecuentes, por lo que es posible que las limitaciones o exclusiones anteriores no se te apliquen.