某些 Creative Cloud 应用程序、服务和功能在中国不可用。
Adobe har lansert sikkerhetsoppdateringer for ColdFusion versjon 2018, 2016 og 11.Disse oppdateringene løser et kritisk sikkerhetsproblem som kan føre til vilkårlig kjøring av kode.
| Produkt | Berørte versjoner | Plattform |
|---|---|---|
| ColdFusion (2018-versjon) | 12. juli-versjon (2018.0.0.310739) | Alle |
| ColdFusion (2016-versjon) | Oppdatering 6 og tidligere versjoner | Alle |
| ColdFusion 11 | Oppdatering 14 og tidligere versjoner | Alle |
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifisering og anbefaler at brukerne oppdaterer installasjonene til de nyeste versjonene:
| Produkt | Oppdatert versjon | Plattform | Prioritet klassifisering | Tilgjengelighet |
|---|---|---|---|---|
| ColdFusion 2018 | Oppdatering 1 | Alle | 2 | Teknisk merknad |
| ColdFusion 2016 | Oppdatering 7 | Alle | 2 | Teknisk merknad |
| ColdFusion 11 | Oppdatering 15 | Alle |
2 | Teknisk merknad |
Merk:
Sikkerhetsoppdateringene som refereres i de tekniske merknadene ovenfor, krever JDK 8u121 eller nyere (for ColdFusion 2016) og JDK 7u131 eller JDK 8u121 (for ColdFusion 11). Adobe anbefaler at du oppdaterer ColdFusion JDK/JRE til den nyeste versjonen, Bruk av ColdFusion-oppdateringen uten en tilsvarende JDK-oppdatering sikrer IKKE serveren. Hvis du vil ha mer informasjon, kan du se de relevante tekniske merknadene.
Adobe anbefaler også at kunder bruker sikkerhetskonfigurasjonsinnstillingene som angitt på sikkerhetssiden for ColdFusion, samt leser gjennom aktuell låseveiledning.
| Sikkerhetsproblemkategori | Sikkerhetsprobleminnvirkning | Alvorlighetsgrad | CVE-numre |
|---|---|---|---|
| Deserialisering av ikke-klarerte data | Vilkårlig kjøring av kode | Kritisk | CVE-2018-15965 CVE-2018-15957 CVE-2018-15958 CVE-2018-15959 |
| Bruk av en komponent med et kjent sikkerhetsproblem | Avsløring av informasjon | Moderat | CVE-2018-15964 |
| Sikkerhetsomgåelse | Vilkårlig oppretting av mappe | Viktig | CVE-2018-15963 |
| Mappeliste | Avsløring av informasjon | Viktig | CVE-2018-15962 |
| Ubegrenset filopplasting | Vilkårlig kjøring av kode | Kritisk | CVE-2018-15961 |
| Bruk av en komponent med et kjent sikkerhetsproblem | Vilkårlig overskriving av filer | Kritisk | CVE-2018-15960 |
Adobe takker følgende personer og firmaer for at de rapporterte disse problemene og samarbeidet med Adobe for å bidra til å beskytte våre kunder:
- Matthias Kaiser fra Code White GmbH (CVE-2018-15957, )
- Gsrc fra Venustech-Adlab (CVE-2018-15958, CVE-2018-15959)
- Pete Freitag fra Foundeo (CVE-2018-15960, CVE-2018-15961, CVE-2018-15962, CVE-2018-15963, CVE-2018-15964)
- Nick Bloor fra Cognitous Ltd (CVE-2018-15965)
COLDFUSION 2018 HF1
For applikasjonsservere
På JEE-installasjoner må du i tillegg sette JVM-flagget "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**" i den aktuelle oppstartfilen, avhengig av type applikasjonsserver som brukes.
For eksempel:
Applikasjonsserveren Apache Tomcat: rediger JAVA_OPTS i filen Catalina.bat/sh
Applikasjonsserveren WebLogic: rediger JAVA_OPTIONS i filen startWeblogic.cmd
Applikasjonsserveren WildFly/EAP: rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
COLDFUSION 2016 HF7
Denne sikkerhetsoppdateringen krever at ColdFusion bruker JDK 8u121 eller nyere Adobe anbefaler at du oppdaterer ColdFusion JDK/JRE manuelt til den nyeste versjonen. Hvis du ikke oppdaterer JDK/JRE, vil bruk av oppdateringen IKKE sikre serveren.
For applikasjonsservere
På JEE-installasjoner må du i tillegg sette JVM-flagget "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**" i den aktuelle oppstartfilen, avhengig av type applikasjonsserver som brukes.
For eksempel:
På applikasjonsserveren Apache Tomcat redigerer du JAVA_OPTS i filen Catalina.bat/sh
På applikasjonsserveren WebLogic redigerer du JAVA_OPTIONS i filen startWeblogic.cmd
På applikasjonsserveren WildFly/EAP redigerer du JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon
COLDFUSION 11 HF15
Denne sikkerhetsoppdateringen krever at ColdFusion bruker JDK 7u131 eller JDK 8u121 eller nyere. Adobe anbefaler at du oppdaterer ColdFusion JDK/JRE manuelt til den nyeste versjonen. Hvis du ikke oppdaterer JDK/JRE, vil bruk av oppdateringen IKKE sikre serveren.
For applikasjonsservere
På J2EE-installasjoner må du i tillegg sette JVM-flagget "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**" i den aktuelle oppstartfilen, avhengig av type applikasjonsserver som brukes.
For eksempel:
På applikasjonsserveren Apache Tomcat redigerer du JAVA_OPTS i filen Catalina.bat/sh
På applikasjonsserveren WebLogic redigerer du JAVA_OPTIONS i filen startWeblogic.cmd
På applikasjonsserveren WildFly/EAP redigerer du JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon
Lisensavtale
Når du bruker programvare fra Adobe Systems Incorporated eller datterselskaper ("Adobe"), godtar du følgende betingelser og vilkår. Hvis du ikke godtar betingelsene og vilkårene, må du ikke bruke programvaren. Betingelsene i en sluttbrukerlisensavtale som følger med en bestemt programvarefil ved installering eller nedlasting av programvaren, skal erstatte betingelsene nedenfor.
Eksport og videreeksport av Adobes programvareprodukter er underlagt amerikanske eksportregler, og slik programvare kan ikke eksporteres eller videreeksporteres til Cuba, Iran, Irak, Libya, Nord-Korea, Sudan eller Syria, eller noe annet land som USA har handelsforbud med. Adobe-programvare kan heller ikke distribueres til personer på USAs Table of Denial Orders, Entity List eller List of Specially Designated Nationals.
Når du laster ned eller bruker et Adobe-programvareprodukt, bekrefter du at du ikke er statsborger av Cuba, Iran, Irak, Libya, Nord-Korea, Sudan eller Syria eller noe land som USA har handelsforbud med, og at du ikke er en person som står på USAs Table of Denial Orders, Entity List eller List of Specially Designated Nationals. Hvis programvaren er laget for bruk med et programprodukt ("Vertsprogrammet") utgitt av Adobe, gir Adobe deg en generell lisens til å bruke slik programvare bare med Vertsprogrammet, forutsatt at du har en gyldig lisens fra Adobe for Vertsprogrammet. Med unntak av det som er beskrevet nedenfor, er slik programvare lisensiert til deg underlagt betingelsene og vilkårene i Lisensavtale for sluttbrukere fra Adobe, og regulerer din bruk av Vertsprogrammet.
GARANTIFRASKRIVELSE: DU GODTAR AT ADOBE IKKE HAR GITT DEG NOEN UTTRYKKELIGE GARANTIER VEDRØRENDE PROGRAMVAREN, OG AT PROGRAMVAREN LEVERES DEG "SOM DEN ER", UTEN NOEN FORM FOR GARANTI. ADOBE FRASKRIVER SEG ALLE GARANTIER VEDRØRENDE PROGRAMVAREN, UTTRYKT ELLER UNDERFORSTÅTT, INKLUDERT MEN IKKE BEGRENSET TIL EVENTUELLE GARANTIER OM EGNETHET TIL ET BESTEMT FORMÅL, SALGBARHET, SALGBARHETSKVALITET ELLER KRENKELSE AV TREDJEPARTS RETTIGHETER. Noen rettskretser tillater ikke utelukkelse av underforståtte garantier, så det kan hende at de ovennevnte begrensningene ikke gjelder for deg.
ANSVARSBEGRENSNING: UNDER INGEN OMSTENDIGHETER VIL ADOBE VÆRE ANSVARLIG FOR EVENTUELLE BRUKSTAP, FORRETNINGSAVBRUDD ELLER EVENTUELLE DIREKTE, INDIREKTE, SPESIELLE, TILFELDIGE SKADER ELLER FØLGESKADER AV NOE SLAG (INKLUDERT TAPT FORTJENESTE), UANSETT TYPE HANDLING, UANSETT OM DE ER KONTRAKTSFESTET ELLER ET RESULTAT AV SIVILE SØKSMÅL (INKLUDERT UAKTSOMHET), UTTRYKKELIG PRODUKTANSVAR ELLER PÅ ANNEN MÅTE, SELV OM ADOBE ER GJORT OPPMERKSOM PÅ MULIGHETENE FOR SLIKE SKADER. Noen rettskretser tillater ikke utelukkelse eller begrensning av følgeskader eller tilfeldige skader, og dermed kan det hende at de ovennevnte begrensningene eller utelukkelsene ikke gjelder for deg.