ID do boletim
Atualizações de segurança disponíveis para o Adobe ColdFusion | APSB24-41
|
Data de publicação |
Prioridade |
APSB24-41 |
11 de junho de 2024 |
3 |
Resumo
A Adobe lançou atualizações de segurança para as versões 2023 e 2021 do ColdFusion. Essas atualizações resolvem vulnerabilidades importantes que podem levar à leitura arbitrária do sistema de arquivos e a burlar os recursos de segurança.
Versões afetadas
Produto |
Número da atualização |
Plataforma |
ColdFusion 2023 |
Atualização 7 e versões anteriores |
Todos |
ColdFusion 2021 |
Atualização 13 e versões anteriores |
Todos |
Solução
A Adobe classifica essas atualizações com a seguinte avaliação de prioridade e recomenda que os usuários atualizem suas instalações para as versões mais recentes:
Produto |
Versão atualizada |
Plataforma |
Classificação de prioridade |
Disponibilidade |
---|---|---|---|---|
ColdFusion 2023 |
Atualização 8 |
Todos |
3 |
|
ColdFusion 2021 |
Atualização 14 |
Todos |
3 |
Consulte a documentação atualizada do filtro serial para obter mais detalhes sobre a proteção contra ataques de desserialização insegura do Wddx https://helpx.adobe.com/br/coldfusion/kb/coldfusion-serialfilter-file.html
Detalhes da vulnerabilidade
Categoria da vulnerabilidade |
Impacto da vulnerabilidade |
Severidade |
Pontuação base de CVSS |
Números CVE |
|
Controle de acesso impróprio (CWE-284) |
Leitura arbitrária do sistema de arquivos |
Importante |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-34112 |
Criptografia fraca para senhas (CWE-261) |
Falha de recurso de segurança |
Importante |
6.2 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-34113 |
Agradecimentos:
A Adobe gostaria de agradecer aos seguintes pesquisadores por terem relatado esse problema e trabalhado com a Adobe para ajudar a proteger nossos clientes:
- Brian (reillyb) – CVE-2024-34112
- Ian Hickey (ionatomic) – CVE-2024-34113
OBSERVAÇÃO: o Adobe tem um programa de recompensa de bugs privado, apenas para convidados, o HackerOne. Se estiver interessado em trabalhar com a Adobe como pesquisador de segurança externa, preencha este formulário para saber as próximas etapas.
A Adobe recomenda atualizar sua versão do JDK/JRE LTS do ColdFusion para a versão mais recente. A página de downloads do ColdFusion é atualizada regularmente para incluir os instaladores Java mais recentes da versão do JDK compatível com a instalação de acordo com as matrizes abaixo.
Para obter instruções sobre como usar um JDK externo, consulte Alterar JVM do ColdFusion.
A Adobe recomenda que os clientes apliquem as configurações de segurança incluída nas documentações de segurança do ColdFusion, além de revisar os respectivos guias de bloqueio.
Requisito de JDK do ColdFusion
COLDFUSION 2023 (versão 2023.0.0.330468) e superior
Para servidores de aplicativos
Em instalações JEE, defina o seguinte sinalizador JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativos sendo usado.
Por exemplo:
Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo 'Catalina.bat/sh'
Servidor de aplicativos WebLogic: edite JAVA_OPTIONS no arquivo 'startWeblogic.cmd'
Servidor de aplicativos WildFly/EAP: edite JAVA_OPTS no arquivo 'standalone.conf'
Defina os sinalizadores JVM em uma instalação JEE do ColdFusion, não em uma instalação autônoma.
COLDFUSION 2021 (versão 2021.0.0.323925) e superior
Para servidores de aplicativos
Em instalações do JEE, defina o seguinte sinalizador, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"
no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativos sendo usado.
Por exemplo:
Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo "Catalina.bat/sh"
Servidor de aplicativos WebLogic: edite JAVA_OPTIONS no arquivo "startWeblogic.cmd"
Servidor de aplicativos WildFly/EAP: edite JAVA_OPTS no arquivo "standalone.conf"
Defina os sinalizadores JVM em uma instalação de JEE de ColdFusion, não em uma instalação individual.
Para mais informações, acesse https://helpx.adobe.com/br/security.html ou envie um email para PSIRT@adobe.com