Référence du bulletin
Dernière mise à jour le
28 mars 2023
Mises à jour de sécurité disponibles pour Adobe ColdFusion | APSB23-25
|
|
Date de publication |
Priorité |
|
APSB23-25 |
14 mars 2023 |
1 |
Récapitulatif
Adobe a publié des mises à jour de sécurité pour ColdFusion versions 2021 et 2018. Ces mises à jour corrigent des vulnérabilités critiques et importantes susceptibles d’entraîner l’exécution de code arbitraire et une fuite de mémoire.
Adobe est conscient que la vulnérabilité CVE-2023-26360 a été exploitée dans la nature lors d’attaques très limitées ciblant des commerçants Adobe ColdFusion.
Versions concernées
|
Produit |
N° de mise à jour |
Plate-forme |
|
ColdFusion 2018 |
Mise à jour 15 et versions antérieures |
Toutes |
|
ColdFusion 2021 |
Mise à jour 5 et versions antérieures |
Toutes |
Solution
Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :
|
Produit |
Mise à jour |
Plate-forme |
Priorité |
Disponibilité |
|---|---|---|---|---|
|
ColdFusion 2018 |
Mise à jour 16 |
Toutes |
1 |
|
|
ColdFusion 2021 |
Mise à jour 6 |
Toutes |
1 |
Remarque :
Adobe recommande d’actualiser votre environnement JDK/JRE ColdFusion avec les dernières versions LTS pour JDK 11. L’installation de la mise à jour de ColdFusion sans utiliser la mise à jour du JDK correspondante NE permettra PAS de sécuriser le serveur. Voir les notes techniques dédiées pour plus de détails.
Adobe recommande également aux utilisateurs d’appliquer les paramètres de sécurité décrits sur la page de sécurité de ColdFusion et de consulter les guides de verrouillage de sécurité dédiés.
Détails concernant la vulnérabilité
|
Catégorie de la vulnérabilité |
Impact de la vulnérabilité |
Gravité |
Score de base CVSS |
Références CVE |
|
|
Désérialisation de données non approuvées (CWE-502) |
Exécution de code arbitraire |
Critique |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-26359 |
|
Contrôle d’accès incorrect (CWE-284) |
Exécution de code arbitraire |
Critique |
8.6 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N |
CVE-2023-26360 |
|
Limitation incorrecte d’un nom de chemin d’accès à un répertoire restreint (Path Traversal) (CWE-22) |
Fuite de mémoire |
Importante |
4.9 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-26361 |
Remerciements
Adobe tient à remercier les personnes suivantes pour avoir signalé les problèmes concernés et joint leurs efforts aux nôtres pour protéger nos clients :
- Patrick Vares (ELS-PHI) - CVE-2023-26359
- Charlie Arehart et Pete Freitag - CVE-2023-26360
- Dusan Stevanovic de Trend Micro - CVE-2023-26361
Configuration requise pour le JDK de ColdFusion
COLDFUSION 2021 (version 2021.0.0.323925) et versions ultérieures
Pour les serveurs d’applications
Lors des installations de JEE, définissez l’indicateur JVM suivant : « -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.** », dans le fichier de démarrage respectif en fonction du type de serveur d’applications utilisé.
Vous pouvez, par exemple:
Serveur d’applications Apache Tomcat : modifiez JAVA_OPTS dans le fichier « Catalina.bat/sh ».
Serveur d’applications WebLogic : modifiez JAVA_OPTIONS dans le fichier « startWeblogic.cmd ».
Serveur d’application WildFly/EAP : modifiez JAVA_OPTS dans le fichier « standalone.conf ».
Définissez les indicateurs JVM sur une installation de JEE pour ColdFusion, et non sur une configuration autonome.
COLDFUSION 2018 HF1 et versions ultérieures
Pour les serveurs d’applications
Lors des installations de JEE, définissez l’indicateur JVM suivant : « -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.** », dans le fichier de démarrage respectif en fonction du type de serveur d’applications utilisé.
Vous pouvez, par exemple:
Serveur d’applications Apache Tomcat : modifiez JAVA_OPTS dans le fichier « Catalina.bat/sh ».
Serveur d’applications WebLogic : modifiez JAVA_OPTIONS dans le fichier « startWeblogic.cmd ».
Serveur d’application WildFly/EAP : modifiez JAVA_OPTS dans le fichier « standalone.conf ».
Définissez les indicateurs JVM sur une installation de JEE pour ColdFusion, et non sur une configuration autonome.
Révisions
14 mars 2023 : Impact de la vulnérabilité révisé pour CVE-2023-26360
Pour plus d’informations, consultez https://helpx.adobe.com/fr/security.html ou envoyez un e-mail à PSIRT@adobe.com
Adobe
Recevez de l’aide plus rapidement et plus facilement
Nouvel utilisateur ?