Beveiligingsadvies van Adobe

Zoeken

Laatst bijgewerkt op 28 mrt. 2023

Beveiligingsupdates beschikbaar voor Adobe ColdFusion | APSB23-25

Bulletin-id	Publicatiedatum	Prioriteit
APSB23-25	14 maart 2023	1

Samenvatting

Adobe heeft beveiligingsupdates uitgebracht voor ColdFusion 2021 en 2018. Deze updates verhelpen kritieke en belangrijke  kwetsbaarheden die kunnen leiden tot het uitvoeren van willekeurige code en een geheugenlek.

Adobe is ervan op de hoogte dat CVE-2023-26360 door onbevoegden wordt geëxploiteerd in uiterst zeldzame aanvallen tegen Adobe ColdFusion.

Van toepassing op de volgende versies

Product	Nummer update	Platform
ColdFusion 2018	Update 15 en eerdere versies	Alles
ColdFusion 2021	Update 5 en eerdere versies	Alles

Oplossing

Adobe heeft aan deze updates de onderstaande prioriteit toegekend en raadt gebruikers aan hun installaties bij te werken naar de meest recente versies:

Product	Bijgewerkte versie	Platform	Prioriteitsbeoordeling	Beschikbaarheid
ColdFusion 2018	Update 16	Alles	1	Technische opmerking
ColdFusion 2021	Update 6	Alles	1	Technische opmerking

Opmerking:

Adobe raadt aan uw ColdFusion JDK/JRE te updaten naar de laatste versie van de LTS-releases voor JDK 11. Als u de ColdFusion-update zonder bijbehorende JDK-update toepast, is de server niet beveiligd. Zie de relevante technische opmerkingen voor meer informatie.

Adobe raadt klanten ook aan om de instellingen van de beveiligingsconfiguratie toe te passen, zoals beschreven op de beveiligingspagina van ColdFusion, en om de bijbehorende handleidingen voor lockdown te bekijken.

Details van kwetsbaarheid

Categorie van kwetsbaarheid	Impact van kwetsbaarheid	Ernst	CVSS-basisscore	CVSS-vector	CVE-nummers
Deserialisatie van niet-vertrouwde gegevens (CWE-502)	Willekeurige uitvoering van een code	Kritiek	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2023-26359
Onjuist toegangsbeheer (CWE-284)	Uitvoering van willekeurige code	Kritiek	8.6	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N	CVE-2023-26360
Onjuiste beperking van een padnaam naar een beperkte directory (Path Traversal) (CWE-22)	Geheugenlek	Belangrijk	4.9	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N	CVE-2023-26361

Dankbetuigingen

Adobe bedankt de volgende personen voor het melden van deze problemen en voor de samenwerking met Adobe om onze klanten te helpen beschermen:

Patrick Vares (ELS-PHI) - CVE-2023-26359
Charlie Arehart en Pete Freitag - CVE-2023-26360
Dusan Stevanovic van Trend Micro - CVE-2023-26361

Vereiste voor ColdFusion JDK

COLDFUSION 2021 (Versie 2021.0.0.323925) en hoger

Voor toepassingsservers  

Stel de volgende JVM-markering in op JEE-installaties: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", in het respectievelijke opstartbestand afhankelijk van het gebruikte type toepassingsserver.

Bijvoorbeeld:  

Toepassingsserver van Apache Tomcat: bewerk JAVA_OPTS in het bestand 'Catalina.bat/sh'  

Toepassingsserver van WebLogic: bewerk JAVA_OPTIONS in het bestand 'startWeblogic.cmd'  

Toepassingsserver van WildFly/EAP: bewerk JAVA_OPTS in het bestand 'standalone.conf'  

Stel de JVM-markeringen in op een JEE-installatie van ColdFusion, niet op een zelfstandige installatie.  

COLDFUSION 2018 HF1 en hoger  

Voor toepassingsservers  

Bijvoorbeeld:  

Toepassingsserver van Apache Tomcat: bewerk JAVA_OPTS in het bestand 'Catalina.bat/sh'  

Toepassingsserver van WebLogic: bewerk JAVA_OPTIONS in het bestand 'startWeblogic.cmd'  

Toepassingsserver van WildFly/EAP: bewerk JAVA_OPTS in het bestand 'standalone.conf'  

Stel de JVM-markeringen in op een JEE-installatie van ColdFusion, niet op een zelfstandige installatie.  

Revisies

14 maart 2023: impact van kwetsbaarheid herzien voor CVE-2023-26360

Ga voor meer informatie naar https://helpx.adobe.com/nl/security.html of stuur een e-mail naar PSIRT@adobe.com

Krijg sneller en gemakkelijker hulp

Nieuwe gebruiker?