Bulletin-ID
Zuletzt aktualisiert am
27. Juni 2024
Sicherheitsupdates für Adobe ColdFusion verfügbar | APSB24-41
|
|
Veröffentlichungsdatum |
Priorität |
|
APSB24-41 |
11. Juni 2024 |
3 |
Zusammenfassung
Adobe hat Sicherheits-Updates für ColdFusion, Version 2023 und 2021, veröffentlicht. Diese Updates beheben wichtige Sicherheitslücken, die zum willkürlichen Lesen des Dateisystems und zur Umgehung von Sicherheitsfunktionen führen könnten.
Betroffene Versionen
|
Produkt |
Updatenummer |
Plattform |
|
ColdFusion 2023 |
Update 7 und ältere Versionen |
Alle |
|
ColdFusion 2021 |
Update 13 und ältere Versionen |
Alle |
Lösung
Adobe stuft die Priorität dieser Updates wie nachstehend ein und empfiehlt die Installation allen Anwendern:
|
Produkt |
Aktualisierte Version |
Plattform |
Priorität |
Verfügbarkeit |
|---|---|---|---|---|
|
ColdFusion 2023 |
Update 8 |
Alle |
3 |
|
|
ColdFusion 2021 |
Update 14 |
Alle |
3 |
Hinweis:
Weitere Details zum Schutz vor Deserialisierungsangriffen auf unsicheres WDDX finden Sie in der aktualisierten Dokumentation zum Serialisierungsfilter https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Sicherheitslückendetails
|
Sicherheitslückenkategorie |
Sicherheitslückenauswirkung |
Problemstufe |
CVSS-Basispunktzahl |
CVE-Nummern |
|
|
Unzulässige Zugriffskontrolle (CWE-284) |
Willkürlicher Dateisystem-Lesezugriff |
Wichtig |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-34112 |
|
Schwache Kryptographie für Passwörter (CWE-261) |
Umgehung der Sicherheitsfunktionen |
Wichtig |
6.2 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-34113 |
Danksagung:
Adobe bedankt sich bei den folgenden Forschern für das Melden dieser Schwachstellen und für die Zusammenarbeit mit Adobe zum Schutz der Sicherheit unserer Kunden.
- Brian (reillyb) – CVE-2024-34112
- Ian Hickey (ionatomic) – CVE-2024-34113
HINWEIS: Adobe hat ein privates, nur für Einladungen bestimmtes Bug-Bounty-Programm mit HackerOne. Wenn Sie an einer Zusammenarbeit mit Adobe als externer Sicherheitsforscher interessiert sind, füllen Sie bitte dieses Formular aus, um die nächsten Schritte einzuleiten.
Hinweis:
Adobe empfiehlt, als Sicherheitsmaßnahmen Ihre ColdFusion JDK/JRE LTS-Version auf die neueste Update-Version zu aktualisieren. Die Download-Seite für ColdFusion wird regelmäßig aktualisiert, um die neuesten Java-Installationsprogramme für die von Ihrer Installation unterstützten JDK-Versionen gemäß den nachstehenden Matrizen einzubeziehen.
Anweisungen zur Verwendung eines externen JDK finden Sie unter ColdFusion JVM ändern.
Adobe empfiehlt zudem, die Sicherheitskonfigurationseinstellungen zu verwenden, die in der ColdFusion-Dokumentation enthalten sind, und die Informationen in den jeweiligen Lockdown Guides beachten.
ColdFusion JDK-Anforderung
ColdFusion 2023 (Version 2023.0.0.330468) und höher
Für Anwendungsserver
Bei JEE-Installationen das folgende JVM-Flag festlegen: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" in der Startdatei des verwendeten Anwendungsservers.
Beispiel:
Apache Tomcat Anwendungsserver: editieren Sie JAVA_OPTS in der Datei „Catalina.bat/sh“
WebLogic Anwendungsserver: editieren Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“
WildFly/EAP Anwendungsserver: editieren Sie JAVA_OPTS in der Datei „standalone.conf“
Setzen Sie die JVM-Flags bei einer JEE-Installation von ColdFusion, nicht bei einer Standalone-Installation.
COLDFUSION 2021 (Version 2021.0.0.323925) und höher
Für Anwendungsserver
Setzen Sie in JEE-Installationen das JVM-Flag “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"
in der Startdatei des verwendeten Anwendungsservers.
Beispiel:
Apache Tomcat Anwendungsserver: Bearbeiten Sie JAVA_OPTS in der Datei „Catalina.bat/sh“
WebLogic Anwendungsserver: Bearbeiten Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“
WildFly/EAP Anwendungsserver: Bearbeiten Sie die JAVA_OPTS in der Datei „standalone.conf“
Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.
Weitere Informationen erhalten Sie unter https://helpx.adobe.com/de/security.html oder per E-Mail an PSIRT@adobe.com
