Beveiligingsupdate: hotfix beschikbaar voor ColdFusion

Releasedatum: 17 november 2015

ID kwetsbaarheidsprobleem: APSB15-29

Prioriteit: 2

CVE-nummers: CVE-2015-8052, CVE-2015-8053, CVE-2015-5255

Platforms: alle

Samenvatting

Adobe heeft een beveiligingshotfix uitgebracht voor ColdFusion 10 en 11.  Deze hotfix verhelpt twee problemen met validatie van invoer die kunnen worden gebruikt in aanvallen via scripts die op meerdere sites worden uitgevoerd. Deze hotfix bevat ook een bijgewerkte versie van Apache™ BlazeDS die een belangrijke kwetsbaarheid voor vervalsingen van aanvragen aan de serverzijde verhelpt. Adobe raadt gebruikers aan de relevante hotfix toe te passen aan de hand van de instructies in de sectie “Oplossing” hieronder.

Van toepassing op de volgende versies

Product Van toepassing op de volgende versies Platform
ColdFusion 11 Update 6 en eerdere versies Alles
ColdFusion 10 Update 17 en eerdere versies Alles

Oplossing

Adobe raadt gebruikers van ColdFusion aan hun installatie bij te werken aan de hand van de instructies in het relevante technische artikel:

ColdFusion 11: http://helpx.adobe.com/nl/coldfusion/kb/coldfusion-11-update-7.html

ColdFusion 10: http://helpx.adobe.com/nl/coldfusion/kb/coldfusion-10-update-18.html

Klanten moeten ook de beveiligingsconfiguratie-instellingen toepassen die worden aangegeven op de beveiligingspagina voor ColdFusion, en de ColdFusion 11-handleiding voor bescherming en de ColdFusion 10-handleiding voor bescherming raadplegen.

Graadmeter voor prioriteit en ernst

 Adobe heeft aan deze hotfix de volgende prioriteit toegekend en raadt gebruikers aan hun installatie bij te werken naar de nieuwste versies:

Product Hotfixversie Platform Prioriteitsbeoordeling Beschikbaarheid
ColdFusion 11 Update 7 Alles
2 Technische opmerking
ColdFusion 10 Update 18 Alles 2 Technische opmerking

Details van kwetsbaarheid

Deze hotfix verhelpt twee problemen met validatie van invoer (CVE-2015-8052 en CVE-2015-8053) die kunnen worden gebruikt in aanvallen via scripts die op meerdere sites worden uitgevoerd. Deze hotfix bevat ook een bijgewerkte versie van Apache™ BlazeDS die een belangrijke kwetsbaarheid voor vervalsingen van aanvragen aan de serverzijde verhelpt (CVE-2015-5255).  

Dankbetuigingen

Adobe dankt de volgende personen en organisaties voor het melden van deze problemen en voor hun samenwerking met Adobe om onze klanten te helpen beschermen:

  • James Kettle van PortSwigger Web Security (CVE-2015-5255) 
  • FortiGuard Labs van Fortinet (CVE-2015-8053)

Verklaring van afstand van Adobe

Licentieovereenkomst

Door het gebruik van software van Adobe Systems Incorporated of haar dochterondernemingen ("Adobe"), stem je in met de volgende bepalingen en voorwaarden. Als je niet instemt met deze bepalingen en voorwaarden, gebruik je de software niet. De bepalingen van een licentieovereenkomst voor eindgebruikers die bij de installatie of download van een bepaald softwarebestand hoort, hebben prioriteit over de hieronder vermelde bepalingen.

De export en herexport van Adobe-softwareproducten wordt beheerst door de Export Administration-regelgeving van de Verenigde Staten en dergelijke software mag niet worden geëxporteerd of geherexporteerd naar Cuba; Iran; Irak; Libië; Noord-Korea; Soedan of Syrië of elk ander land waarvoor door de Verenigde Staten een embargo is ingesteld. Daarnaast mag Adobe-software niet worden gedistribueerd aan personen die in de Table of Denial Orders, de Entity List of de lijst Specially Designated Nationals zijn opgenomen.

Door een Adobe software-product te downloaden of te gebruiken, geef je te kennen dat je geen staatsburger bent van Cuba; Iran; Irak; Libië; Noord-Korea; Soedan of Syrië of van elk land waarvoor door de Verenigde Staten een embargo is ingesteld en dat je niet op de Table of Denial Orders, de Entity List of de lijst Specially Designated Nationals bent vermeld. Als de software bestemd is voor gebruik met een softwaretoepassing (de "hosttoepassing") die door Adobe is gepubliceerd, verleent Adobe je een niet-exclusieve licentie voor het exclusieve gebruik van dergelijke software met de Hosttoepassing; op voorwaarde dat je beschikt over een geldige licentie van Adobe voor de Hosttoepassing. Met uitzondering van wat hieronder is vermeld; wordt de software aan jou in licentie gegeven in overeenkomst met de bepalingen en voorwaarden van de licentieovereenkomst voor eindgebruikers van Adobe die heerst over je gebruik van de Hosttoepassing.

BEPERKING VAN GARANTIES: JE STEMT ERMEE IN DAT ADOBE JE GEEN UITDRUKKELIJKE GARANTIE HEEFT GEBODEN MET BETREKKING TOT DE SOFTWARE EN DAT DE SOFTWARE ONGEWIJZIGD ("AS IS") AAN JOU WORDT GELEVERD ZONDER ENIGE GARANTIE. ADOBE VERLEENT GEEN ENKELE GARANTIE MET BETREKKING TOT DE SOFTWARE; UITDRUKKELIJK NOCH IMPLICIET; MET INBEGRIP VAN, MAAR NIET BEPERKT TOT, ENIGE IMPLICIETE GARANTIE BETREFFENDE DE GESCHIKTHEID VOOR EEN BEPAALD DOEL; DE VERKOOPBAARHEID; DE VERKOOPWAARDE OF HET NIET-INBREUKMAKENDE KARAKTER VAN DE SOFTWARE. In sommige staten of rechtsgebieden is het uitsluiten van impliciete garanties niet toegestaan. Hierdoor is het mogelijk dat de hiervoor vermelde beperkingen niet op jou van toepassing zijn.

AANSPRAKELIJKHEIDSBEPERKING: ADOBE IS IN GEEN GEVAL AANSPRAKELIJK JEGENS JOU VOOR ENIGE VORM VAN VERLIES VAN GEBRUIK, BEDRIJFSONDERBREKINGEN, OF ENIGE ANDERE DIRECTE, INDIRECTE, SPECIALE, INCIDENTELE, OF GEVOLGSCHADE (MET INBEGRIP VAN WINSTDERVING) ONGEACHT DE VORM VAN DE RECHTSVORDERING, ONRECHTMATIG, NOCH CONTRACTUEEL (MET INBEGRIP VAN NALATIGHEID), RISICOAANSPRAKELIJKHEID OF ANDERSZINS; ZELFS INDIEN ADOBE OP DE HOOGTE IS GESTELD VAN DE MOGELIJKHEID VAN DERGELIJKE SCHADE. Aangezien in bepaalde staten of rechtsgebieden het uitsluiten of beperken van incidentele of gevolgschade niet is toegestaan, is het mogelijk dat deze beperking of uitsluiting niet op jou van toepassing is.