Boletim de segurança da Adobe

Atualizações de segurança disponíveis para o Adobe ColdFusion | APSB22-44

ID do boletim

Data de publicação

Prioridade

APSB22-44

11 de outubro de 2022

3

Resumo

A Adobe lançou atualizações de segurança para as versões 2021 e 2018 do ColdFusion. Essas atualizações resolvem vulnerabilidades CríticasImportantes e Moderadas  que podem levar à execução arbitrária de código, gravação arbitrária de sistema de arquivos, desvio de recurso de segurança e escalonamento de privilégios.



   

Versões afetadas

Produto

Número da atualização

Plataforma

ColdFusion 2018

Atualização 14 e versões anteriores    

Todos

ColdFusion 2021

Atualização 4 e versões anteriores

Todos

Solução

A Adobe classifica essas atualizações com a seguinte avaliação de prioridade e recomenda que os usuários atualizem suas instalações para as versões mais recentes:

Produto

Versão atualizada

Plataforma

Classificação de prioridade

Disponibilidade

ColdFusion 2018

Atualização 15

Todos

3

ColdFusion 2021

Atualização 5

Todos

3

Observação:

A Adobe recomenda atualizar o ColdFusion JDK/JRE para a versão mais recente das versões LTS para JDK 11. Aplicar a atualização de ColdFusion sem uma atualização correspondente do JDK não protegerá o servidor.  Consulte as Notas técnicas relevantes para obter mais detalhes. 

A Adobe recomenda que os clientes apliquem as configurações de segurança descritas na página Segurança do ColdFusion, além de revisar os respectivos guias de bloqueio.  

Detalhes da vulnerabilidade

Categoria da vulnerabilidade

Impacto da vulnerabilidade

Severidade

Pontuação base de CVSS 

Números CVE

Transbordamento de dados baseado em pilha (CWE-121)

Execução de código arbitrário

Crítico

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35710

Estouro de buffer baseado em heap (CWE-122)

Execução de código arbitrário

Crítico

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35711

Transbordamento de dados baseado em pilha (CWE-121)

Execução de código arbitrário

Crítico

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35690

Estouro de buffer baseado em heap (CWE-122)

Execução de código arbitrário

Crítico

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35712

Limitação incorreta de um nome de caminho para um diretório restrito ("Caminho transversal") (CWE-22)

Execução de código arbitrário

Crítico

8.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-38418

Restrição incorreta da referência de entidade externa do XML (‘XXE’) (CWE-611)

Leitura arbitrária do sistema de arquivos

Importante

5.9

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2022-38419

Uso de credenciais codificadas (CWE-798)

Escalonamento de privilégio

Importante

6.8

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

CVE-2022-38420

Limitação incorreta de um nome de caminho para um diretório restrito ("Caminho transversal") (CWE-22)

Execução de código arbitrária

Importante

6.6

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

CVE-2022-38421

Exposição de Informações (CWE-200)

Falha de recurso de segurança

Importante

5.3

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CVE-2022-38422

Limitação incorreta de um nome de caminho para um diretório restrito ("Caminho transversal") (CWE-22)

Falha de recurso de segurança

Moderado

4.4

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N

CVE-2022-38423

Limitação incorreta de um nome de caminho para um diretório restrito ("Caminho transversal") (CWE-22)

Gravação arbitrária do sistema de arquivos

Crítico

7,2

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

CVE-2022-38424


Validação de entrada inadequada (CWE-20)


Leitura arbitrária do sistema de arquivos

Importante

7.5

 

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2022-42340

Restrição incorreta da referência de entidade externa do XML (‘XXE’) (CWE-611)


Leitura arbitrária do sistema de arquivos

Importante

 

7.5

 

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2022-42341

Agradecimentos

A Adobe gostaria de agradecer aos seguintes profissionais por relatarem os problemas relevantes e por trabalharem com a Adobe para ajudar a proteger os nossos clientes:

  • rgod trabalhando com a Zero Day Initiative da Trend Micro - CVE-2022-35710, CVE-2022-35711, CVE-2022-35690, CVE-2022-35712, CVE-2022-38418, CVE-2022-38419, CVE-2022-38420, CVE-2022-38421, CVE-2022-38422, CVE-2022-38423, CVE-2022-38424
  • reillyb - CVE-2022-42340, CVE-2022-42341

Requisito de JDK do ColdFusion

COLDFUSION 2021 (versão 2021.0.0.323925) e superior

Para servidores de aplicativos   

Em instalações do JEE, defina o seguinte sinalizador JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", no respectivo arquivo de inicialização dependendo do tipo de servidor de aplicativos sendo usado.  

Por exemplo:   

Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo "Catalina.bat/sh"

Servidor de aplicativos WebLogic: edite JAVA_OPTIONS no arquivo "startWeblogic.cmd"

Servidor de aplicativos WildFly/EAP: edite JAVA_OPTS no arquivo "standalone.conf"

Defina os sinalizadores JVM em uma instalação de JEE de ColdFusion, não em uma instalação individual.   

 

COLDFUSION 2018 HF1 e superior  

Para servidores de aplicativos   

Em instalações do JEE, defina o seguinte sinalizador JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", no respectivo arquivo de inicialização dependendo do tipo de servidor de aplicativos sendo usado.  

Por exemplo:   

Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo "Catalina.bat/sh"

Servidor de aplicativos WebLogic: edite JAVA_OPTIONS no arquivo "startWeblogic.cmd"

Servidor de aplicativos WildFly/EAP: edite JAVA_OPTS no arquivo "standalone.conf"

Defina os sinalizadores JVM em uma instalação de JEE de ColdFusion, não em uma instalação individual.   

 


Para mais informações, acesse https://helpx.adobe.com/br/security.html ou envie um email para PSIRT@adobe.com 

 Adobe

Receba ajuda com mais rapidez e facilidade

Novo usuário?

Adobe MAX 2024

Adobe MAX:
a conferência da criatividade

14 a 16 de outubro, Miami Beach e online

Adobe MAX

A conferência da criatividade

14 a 16 de outubro, Miami Beach e online

Adobe MAX 2024

Adobe MAX:
a conferência da criatividade

14 a 16 de outubro, Miami Beach e online

Adobe MAX

A conferência da criatividade

14 a 16 de outubro, Miami Beach e online