Bulletin-ID
Sist oppdatert
28. mar. 2023
Sikkerhetsoppdateringer tilgjengelig for Adobe ColdFusion | APSB23-25
|
|
Publiseringsdato |
Prioritet |
|
APSB23-25 |
14. mars 2023 |
1 |
Sammendrag
Adobe har lansert sikkerhetsoppdateringer for ColdFusion versjon 2021 og 2018. Disse oppdateringene løser kritiske og viktige sikkerhetsproblemer som kan føre til kjøring av vilkårig kode og minnelekkasje.
Adobe er klar over at CVE-2023-26360 har blitt utnyttet fritt i svært begrensede angrep rettet mot Adobe ColdFusion.
Berørte versjoner
|
Produkt |
Oppdateringsnummer |
Plattform |
|
ColdFusion 2018 |
Oppdatering 15 og tidligere versjoner |
Alle |
|
ColdFusion 2021 |
Oppdatering 5 og tidligere versjoner |
Alle |
Løsning
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifisering og anbefaler at brukerne oppdaterer installasjonene til de nyeste versjonene:
|
Produkt |
Oppdatert versjon |
Plattform |
Prioritet Klassifisering |
Tilgjengelighet |
|---|---|---|---|---|
|
ColdFusion 2018 |
Oppdatering 16 |
Alle |
1 |
|
|
ColdFusion 2021 |
Oppdatering 6 |
Alle |
1 |
Merk:
Adobe anbefaler å oppdatere ColdFusion JDK/JRE til den nyeste versjonen av LTS-versjonene for JDK 11. Bruk av ColdFusion-oppdateringen uten en tilsvarende JDK-oppdatering sikrer IKKE serveren. Se de relevante teknologinotatene for mer informasjon.
Adobe anbefaler også kunden å anvende innstillingene for sikkerhetskonfigurasjon som angitt på ColdFusion-sikkerhetssiden og se respektive veiledninger om låsing.
Informasjon om sikkerhetsproblemet
|
Sikkerhetsproblemkategori |
Sikkerhetsprobleminnvirkning |
Alvorlighetsgrad |
CVSS-grunnscore |
CVE-numre |
|
|
Deserialisering av ikke-klarerte data (CWE-502) |
Kjøring av vilkårlig kode |
Kritisk |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-26359 |
|
Feil tilgangskontroll (CWE-284) |
Kjøring av vilkårlig kode |
Kritisk |
8.6 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N |
CVE-2023-26360 |
|
Feil begrensning av banekrysning til en begrenset katalog (Path Traversal) (CWE-22) |
Minnelekkasje |
Viktig |
4.9 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-26361 |
Takk
Adobe takker følgende personer for at de rapporterte de relevante problemene og samarbeider med oss for å hjelpe oss med å beskytte våre kunders sikkerhet:
- Patrick Vares (ELS-PHI) – CVE-2023-26359
- Charlie Arehart og Pete Freitag – CVE-2023-26360
- Dusan Stevanovic fra Trend Micro – CVE-2023-26361
Krav forColdFusion JDK
COLDFUSION 2021 (Versjon 2021.0.0.323925) og nyere
For applikasjonsservere
På JEE-installasjoner må du i tillegg sette JVM-flagget "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
For eksempel:
Apache Tomcat-applikasjonsserver: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
WildFly/EAP-applikasjonsserver: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
COLDFUSION 2018 HF1 og nyere
For applikasjonsservere
På JEE-installasjoner må du i tillegg sette JVM-flagget "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
For eksempel:
Apache Tomcat-applikasjonsserver: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
WildFly/EAP-applikasjonsserver: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
Revisjoner
14. mars 2023: Følger av sikkerhetsproblem revidert for CVE-2023-26360
Hvis du vil ha mer informasjon, kan du se https://helpx.adobe.com/no/security.html eller sende en e-postmelding til PSIRT@adobe.com
