Biuletyn dotyczący zabezpieczeń firmy Adobe

Szukaj

Ostatnia aktualizacja 2 sie 2023

Dostępne aktualizacje zabezpieczeń programu Adobe ColdFusion | APSB23-47

ID biuletynu	Data publikacji	Priorytet
APSB23-47	19 lipca 2023 r.	1

Podsumowanie

Firma Adobe udostępniła aktualizacje zabezpieczeń programu ColdFusion w wersji 2023, 2021 i 2018. Te aktualizacje usuwają krytyczne  i umiarkowanie ważne luki w zabezpieczeniach, które mogły doprowadzić do wykonania dowolnego kodu i ominięcia funkcji zabezpieczeń.

Firma Adobe wie, że lukę CVE-2023-38205 wykorzystano w ograniczonym stopniu, aby atakować przedsiębiorców korzystających z usługi Adobe ColdFusion.

Zagrożone wersje

Produkt	Numer aktualizacji	Platforma
ColdFusion 2023	Aktualizacja 2 i wcześniejsze wersje	Wszystkie
ColdFusion 2021	Aktualizacja 8 i wcześniejsze wersje	Wszystkie
ColdFusion 2018	aktualizacja 18 i wcześniejsze wersje	Wszystkie

Rozwiązanie

Firma Adobe nadaje tym aktualizacjom następujące oceny priorytetów i zaleca użytkownikom zaktualizowanie posiadanych instalacji do najnowszych wersji:

Produkt	Zaktualizowana wersja	Platforma	Ocena priorytetu	Dostępność
ColdFusion 2023	Aktualizacja 3	Wszystkie	1	Uwagi techniczne
ColdFusion 2021	Aktualizacja 9	Wszystkie	1	Uwagi techniczne
ColdFusion 2018	Aktualizacja 19	Wszystkie	1	Uwagi techniczne

Uwaga:

W razie odkrycia w przyszłości pakietu z luką pozwalającą na deserializację, należy użyć pliku serialfilter.txt w katalogu <cfhome>/lib, aby umieścić pakiet na liście blokad (np. !org.jgroups.**;)

Informacje o luce w zabezpieczeniach

Kategoria luki w zabezpieczeniach	Wpływ luki w zabezpieczeniach	Ostrość	Podstawowy wynik CVSS	Wektor CVSS	Numery CVE
Deserializacja niezaufanych danych (CWE-502)	Wykonanie dowolnego kodu	Krytyczna	9.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2023-38204
Niewłaściwa kontrola dostępu (CWE-284)	Obejście funkcji bezpieczeństwa	Krytyczna	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2023-38205
Niewłaściwa kontrola dostępu (CWE-284)	Obejście funkcji bezpieczeństwa	Umiarkowanie ważna	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	CVE-2023-38206

Podziękowania:

Firma Adobe składa podziękowania następującym badaczom za zgłoszenie tej luki w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:   

Rahul Maini, Harsh Jaiswal @ ProjectDiscovery Research — CVE-2023-38204
MoonBack (ipplus360) — CVE-2023-38204
Stephen Fewer - CVE-2023-38205
Brian Reilly - CVE-2023-38206

UWAGA: Firma Adobe prowadzi z firmą HackerOne prywatny, dostępny tylko za zaproszeniem program nagród za wykryte błędy. Jeśli interesuje Cię współpraca z firmą Adobe w roli zewnętrznego analityka bezpieczeństwa, wypełnij ten formularz, by uzyskać dalsze informacje.

Podziękowania

Firma Adobe składa podziękowania następującemu badaczowi za zgłoszenie tej luki w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:   

Yonghui Han z Fortinet’s FortiGuard Labs — CVE-2023-29308, CVE-2023-29309, CVE-2023-29310, CVE-2023-29311, CVE-2023-29312, CVE-2023-29313, CVE-2023-29314, CVE-2023-29315, CVE-2023-29316, CVE-2023-29317, CVE-2023-29318, CVE-2023-29319

Uwaga:

Firma Adobe zaleca aktualizację wersji ColdFusion JDK/JRE LTS do najnowszej wydanej wersji. Znajdź obsługiwaną wersję JDK na poniższym zestawieniu wersji ColdFusion.

Zestawienie obsługiwanych wersji programu ColdFusion

CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf

CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf

CF2018: https://helpx.adobe.com/pdf/coldfusion2018-support-matrix.pdf

Zastosowanie aktualizacji programu ColdFusion bez odpowiedniej aktualizacji oprogramowania JDK NIE umożliwi zabezpieczenia serwera. Więcej informacji można znaleźć w odpowiednich uwagach technicznych.

Firma Adobe zaleca również klientom zastosowanie ustawień konfiguracji zabezpieczeń opisanych na stronie zabezpieczeń programu ColdFusion, a także zapoznanie się z odpowiednimi przewodnikami dotyczącymi zabezpieczania.   

Wymagane oprogramowanie JDK dla programu ColdFusion

COLDFUSION 2023 (wersja 2023.0.0.330468) i nowsze
Dla serwerów aplikacji

W przypadku instalacji JEE należy ustawić flagę JVM „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**” w odpowiednim pliku rozruchowym odpowiednio do typu używanego serwera aplikacji.

Na przykład:
Serwer aplikacji Apache Tomcat: edytuj JAVA_OPTS w pliku ‘Catalina.bat/sh’
Serwer aplikacji WebLogic: edytuj JAVA_OPTIONS w pliku ‘startWeblogic.cmd’
Serwer aplikacji WildFly/EAP: edytuj JAVA_OPTS w pliku ‘standalone.conf’
Flagi oprogramowania JVM należy ustawić w instalacji oprogramowania JEE dla programu ColdFusion, a nie w instalacji samodzielnej.  

COLDFUSION 2021 (wersja 2021.0.0.323925) i nowsze

Dla serwerów aplikacji  

W przypadku instalacji JEE należy ustawić flagę JVM „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"

w odpowiednim pliku rozruchowym odpowiednio do typu używanego serwera aplikacji.

Przykładowo:  

Serwer aplikacji Apache Tomcat: należy edytować pozycję JAVA_OPTS w pliku „Catalina.bat/sh”

Serwer aplikacji WebLogic: należy edytować pozycję JAVA_OPTIONS w pliku „startWeblogic.cmd”

Serwer aplikacji WildFly/EAP: należy edytować pozycję JAVA_OPTS w pliku „standalone.conf”

Flagi oprogramowania JVM należy ustawić w instalacji oprogramowania JEE dla programu ColdFusion, a nie w instalacji samodzielnej.  

COLDFUSION 2018 HF1 i nowsze  