Aktualizacja zabezpieczeń: Poprawki dostępne dla programu ColdFusion

Data udostępnienia: 30 sierpnia 2016

Ostatnia aktualizacja: 1 września 2016

Identyfikator luki: APSB16-30

Priorytet: 1

Numer CVE: CVE-2016-4264

Platformy: Wszystkie

Podsumowanie

Firma Adobe wydała poprawki zabezpieczeń programu ColdFusion w wersjach 10 i 11. Te poprawki usuwają krytyczną lukę w zabezpieczeniach, która może prowadzić do ujawnienia informacji (CVE-2016-4264).

Firma Adobe zaleca klientom zainstalowanie odpowiedniej poprawki zgodnie z instrukcjami podanymi poniżej w sekcji „Rozwiązanie”.

Zagrożone wersje

Produkt Zagrożone wersje Platforma
ColdFusion 11 aktualizacja 9 i wcześniejsze wersje Wszystkie
ColdFusion 10 aktualizacja 20 i wcześniejsze wersje Wszystkie

Uwaga: CVE-2016-4264 nie oddziałuje na wersję 2016 programu ColdFusion.

Rozwiązanie

Firma Adobe nadaje tej poprawce następującą ocenę priorytetu i zaleca użytkownikom aktualizację zainstalowanego oprogramowania do najnowszej wersji:

Produkt Wersja poprawki Platforma Ocena priorytetu Dostępność
ColdFusion 11 Aktualizacja 10 Wszystkie
1 Uwagi techniczne
ColdFusion 10 Aktualizacja 21 Wszystkie 1 Uwagi techniczne

Firma Adobe zaleca użytkownikom aktualizację zainstalowanego oprogramowania ColdFusion zgodnie z instrukcjami podanymi w odpowiedniej notatce technicznej pod adresem:

Klienci powinni również zastosować ustawienia konfiguracji zabezpieczeń opisane na stronie zabezpieczeń programu ColdFusion, a także zapoznać się z odpowiednim Przewodnikiem dotyczącym zabezpieczania.

Informacje o luce w zabezpieczeniach

Te poprawki usuwają problem związany z parsowaniem spreparowanych encji XML, który może prowadzić do ujawnienia informacji (CVE-2016-4264).

Podziękowania

Firma Adobe składa podziękowania Dawidowi Golunskiemu z firmy http://legalhackers.com za zgłoszenie tego problemu (CVE-2016-4264) oraz współpracę z firmą Adobe w celu ochrony jej klientów.

Wersje

1 września 2016 r.: Od 1 września firma Adobe wie o publicznie dostępnym kodzie sprawdzającym słuszność koncepcji; priorytet tych poprawek zmieniono z 2 na 1. Więcej informacji o ocenach priorytetów i ważności stosowanych przez firmę Adobe znajduje się tutaj: https://helpx.adobe.com/pl/security/severity-ratings.html.       

Zrzeczenie odpowiedzialności firmy Adobe

Umowa licencyjna

Używając oprogramowania firmy Adobe Systems Incorporated lub jej podmiotów zależnych („Adobe”), użytkownik akceptuje następujące warunki i postanowienia. Jeśli użytkownik nie akceptuje tych warunków i postanowień, nie powinien używać niniejszego oprogramowania. Warunki umowy licencyjnej użytkownika oprogramowania dołączonej do konkretnego pliku oprogramowania i przedstawione podczas instalacji lub pobierania oprogramowania zastępują poniższe warunki.

Eksport i reeksport produktów programistycznych firmy Adobe podlega amerykańskim przepisom eksportowym i oprogramowanie takie nie może być eksportowane ani reeksportowane na Kubę, do Iranu, Iraku, Libii, Korei Północnej, Sudanu i Syrii oraz do żadnego kraju, na który Stany Zjednoczone nałożyły embargo. Ponadto oprogramowanie firmy Adobe nie może być rozprowadzane do osób wymienionych w tabeli Table of Denial Orders, na liście Entity List lub liście List of Specially Designated Nationals.

Przez pobranie lub użycie produktu programistycznego firmy Adobe użytkownik potwierdza, że nie jest obywatelem Kuby, Iranu, Iraku, Libii, Korei Północnej, Sudanu, Syrii ani żadnego z krajów, na który Stany Zjednoczone nałożyły embargo, oraz że nie jest osobą wymienioną w tabeli Table of Denial Orders, na liście Entity List lub liście List of Specially Designated Nationals. Jeśli oprogramowanie zostało zaprojektowane do użytku z aplikacją programistyczną („Aplikacja hosta”) opublikowaną przez firmę Adobe, firma Adobe udziela użytkownikowi niewyłącznej licencji na używanie takiego oprogramowania tylko z Aplikacją hosta, pod warunkiem, że użytkownik posiada ważną licencję pochodzącą od firmy Adobe na Aplikację hosta. Z wyjątkiem przypadków wymienionych poniżej, takie oprogramowanie jest licencjonowane użytkownikowi zgodnie z warunkami i postanowieniami Umowy Licencyjnej Użytkownika Oprogramowania pochodzącej od firmy Adobe i regulującej warunki użytkowania Aplikacji hosta.

WYŁĄCZENIE ODPOWIEDZIALNOŚCI Z TYTUŁU RĘKOJMI: UŻYTKOWNIK PRZYJMUJE DO WIADOMOŚCI, ŻE FIRMA ADOBE NIE UDZIELIŁA MU ŻADNYCH JAWNYCH GWARANCJI DOTYCZĄCYCH OPROGRAMOWANIA I ŻE OPROGRAMOWANIE JEST DOSTARCZANE W STANIE „TAK JAK JEST” BEZ ŻADNYCH GWARANCJI. FIRMA ADOBE ODRZUCA WSZELKIE GWARANCJE DOTYCZĄCE OPROGRAMOWANIA, W TYM RÓWNIEŻ, ALE NIE WYŁĄCZNIE, GWARANCJE JAWNE LUB DOMNIEMANE; WSZELKIE GWARANCJE DOMNIEMANE CO DO PRZYDATNOŚCI DO OKREŚLONEGO CELU, WARTOŚCI HANDLOWEJ, JAKOŚCI HANDLOWEJ LUB NIENARUSZANIA PRAW OSÓB TRZECICH. Niektóre systemy prawne nie zezwalają na wyłączanie gwarancji domniemanych, w związku z tym powyższe ograniczenia mogą nie dotyczyć konkretnego użytkownika.

OGRANICZENIE ODPOWIEDZIALNOŚCI: W ŻADNYM WYPADKU FIRMA ADOBE NIE PONOSI PRZED UŻYTKOWNIKIEM ODPOWIEDZIALNOŚCI ZA JAKĄKOLWIEK UTRATĘ MOŻLIWOŚCI UŻYTKOWANIA, PRZERWĘ W PROWADZENIU DZIAŁALNOŚCI ANI ZA JAKIEKOLWIEK SZKODY POŚREDNIE LUB BEZPOŚREDNIE, NADZWYCZAJNE, WTÓRNE LUB PRZYPADKOWE (RÓWNIEŻ ZA UTRACONE KORZYŚCI), BEZ WZGLĘDU NA FORMĘ ROSZCZEŃ — KONTRAKT, NARUSZENIE PRAWA CYWILNEGO (WŁĄCZAJĄC ZANIEDBANIE), ODPOWIEDZIALNOŚĆ OBIEKTYWNĄ PRODUCENTA LUB INNE, NAWET JEŻELI FIRMA ADOBE ZOSTAŁA UPRZEDZONA O MOŻLIWOŚCI POWSTANIA TAKICH SZKÓD. Niektóre systemy prawne nie zezwalają na wyłączanie czy ograniczanie odpowiedzialności za szkody przypadkowe lub wtórne, w związku z tym powyższe ograniczenie lub wyłączenie może nie dotyczyć konkretnego użytkownika.