Adobe – sikkerhetsbulletin

Utgivelsesdato: 14. oktober 2014

Sikkerhetsproblemidentifikator: APSB14-23

Prioritet: Se tabellen nedenfor

CVE-numre: CVE-2014-0570, CVE-2014-0571, CVE-2014-0572

Plattform: alle plattformer

Sammendrag

Adobe har lansert sikkerhetsoppdateringer for ColdFusion versjon 11, 10, 9.0.2, 9.0.1 og 9.0 for alle plattformer.  Diss hurtigreparasjonene løser et problem med sikkerhetstillatelser som kan utnyttes av en uautentisert lokal bruker til å omgå begrensninger for tilgangskontroll for IP-adresser som gjelder for ColdFusion-administrator.  Sikkerhetsproblemer med skript og forfalskning av forespørsler på tvers av nettsteder løses også i hurtigreparasjonene. 

Berørte programversjoner

ColdFusion 11, 10, 9.0.2, 9.0.1 og 9.0 for alle plattformer. 

Løsning

Adobe anbefaler at ColdFusion-kunder oppdaterer installasjonen i henhold til instruksjonene i følgende tekniske dokument: http://helpx.adobe.com/coldfusion/kb/coldfusion-security-hotfix-apsb14-23.html

Kundene bør også bruke sikkerhetskonfigurasjonsinnstillingene som angitt på sikkerhetssiden for ColdFusion, samt lese gjennom låseveiledningen for ColdFusion 11, låseveiledningen for ColdFusion 10 og  låseveiledningen for ColdFusion 9.

Klassifiseringer for prioritet og alvorlighetsgrad

 Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonene til de nyeste versjonene:

Disse oppdateringene løser et viktig sikkerhetsproblem i programvaren.

Detaljer

Adobe har lansert sikkerhetsoppdateringer for ColdFusion versjon 11, 10, 9.0.2, 9.0.1 og 9.0 for alle plattformer.  

Disse hurtigreparasjonene løser et sikkerhetsproblem med forfalskning av forespørsler på tvers av nettsteder (CVE-2014-0570).

Disse hurtigreparasjonene løser et sikkerhetsproblem med skript på tvers av nettsteder (CVE-2014-0570).

Diss hurtigreparasjonene løser et problem med sikkerhetstillatelser som kan utnyttes av en uautentisert lokal bruker til å omgå begrensninger for tilgangskontroll for IP-adresser (CVE-2014-0572).

Takk

Adobe takker følgende personer og firmaer for at de rapporterte disse sikkerhetsproblemene og samarbeider med oss for å hjelpe oss med å beskytte våre kunders sikkerhet:

• Craig Young fra Tripwire VERT (CVE-2014-0570)
• Pete Freitag fra Foundeo Inc. (CVE-2014-0571)
• Aaron Foote (CVE-2014-0572)

Adobe Ansvarsfraskrivelse

Lisensavtale

Når du bruker programvare fra Adobe Systems Incorporated eller datterselskaper ("Adobe"), godtar du følgende betingelser og vilkår. Hvis du ikke godtar betingelsene og vilkårene, må du ikke bruke programvaren. Betingelsene i en sluttbrukerlisensavtale som følger med en bestemt programvarefil ved installering eller nedlasting av programvaren, skal erstatte betingelsene nedenfor.

Eksport og videreeksport av Adobes programvareprodukter er underlagt amerikanske eksportregler, og slik programvare kan ikke eksporteres eller videreeksporteres til Cuba, Iran, Irak, Libya, Nord-Korea, Sudan eller Syria, eller noe annet land som USA har handelsforbud med. Adobe-programvare kan heller ikke distribueres til personer på USAs Table of Denial Orders, Entity List eller List of Specially Designated Nationals.

Når du laster ned eller bruker et Adobe-programvareprodukt, bekrefter du at du ikke er statsborger av Cuba, Iran, Irak, Libya, Nord-Korea, Sudan eller Syria eller noe land som USA har handelsforbud med, og at du ikke er en person som står på USAs Table of Denial Orders, Entity List eller List of Specially Designated Nationals. Hvis programvaren er laget for bruk med et programprodukt ("Vertsprogrammet") utgitt av Adobe, gir Adobe deg en generell lisens til å bruke slik programvare bare med Vertsprogrammet, forutsatt at du har en gyldig lisens fra Adobe for Vertsprogrammet. Med unntak av det som er beskrevet nedenfor, er slik programvare lisensiert til deg underlagt betingelsene og vilkårene i Lisensavtale for sluttbrukere fra Adobe, og regulerer din bruk av Vertsprogrammet.

GARANTIFRASKRIVELSE: DU GODTAR AT ADOBE IKKE HAR GITT DEG NOEN UTTRYKKELIGE GARANTIER VEDRØRENDE PROGRAMVAREN, OG AT PROGRAMVAREN LEVERES DEG "SOM DEN ER", UTEN NOEN FORM FOR GARANTI. ADOBE FRASKRIVER SEG ALLE GARANTIER VEDRØRENDE PROGRAMVAREN, UTTRYKT ELLER UNDERFORSTÅTT, INKLUDERT MEN IKKE BEGRENSET TIL EVENTUELLE GARANTIER OM EGNETHET TIL ET BESTEMT FORMÅL, SALGBARHET, SALGBARHETSKVALITET ELLER KRENKELSE AV TREDJEPARTS RETTIGHETER. Noen rettskretser tillater ikke utelukkelse av underforståtte garantier, så det kan hende at de ovennevnte begrensningene ikke gjelder for deg.

ANSVARSBEGRENSNING: UNDER INGEN OMSTENDIGHETER VIL ADOBE VÆRE ANSVARLIG FOR EVENTUELLE BRUKSTAP, FORRETNINGSAVBRUDD ELLER EVENTUELLE DIREKTE, INDIREKTE, SPESIELLE, TILFELDIGE SKADER ELLER FØLGESKADER AV NOE SLAG (INKLUDERT TAPT FORTJENESTE), UANSETT TYPE HANDLING, UANSETT OM DE ER KONTRAKTSFESTET ELLER ET RESULTAT AV SIVILE SØKSMÅL (INKLUDERT UAKTSOMHET), UTTRYKKELIG PRODUKTANSVAR ELLER PÅ ANNEN MÅTE, SELV OM ADOBE ER GJORT OPPMERKSOM PÅ MULIGHETENE FOR SLIKE SKADER. Noen rettskretser tillater ikke utelukkelse eller begrensning av følgeskader eller tilfeldige skader, og dermed kan det hende at de ovennevnte begrensningene eller utelukkelsene ikke gjelder for deg.