Boletim de segurança da Adobe

Atualizações de segurança disponíveis para o Adobe ColdFusion | APSB25-93

ID do boletim

Data de publicação

Prioridade

APSB25-93

9 de setembro de 2025

1

Resumo

A Adobe lançou atualizações de segurança para as versões de 2025, 2023 e 2021 do ColdFusion. Essas atualizações resolvem vulnerabilidades críticas e importantes que podiam levar a uma gravação arbitrária do sistema de arquivos.

 A Adobe não tem conhecimento de nenhuma exploração na Web de nenhum dos problemas abordados nestas atualizações.

Versões afetadas

Produto

Número da atualização

Plataforma

ColdFusion 2025

Atualização 3 de e versões anteriores

Todas

ColdFusion 2023

Atualização 15 e versões anteriores
  

Todas

ColdFusion 2021

Atualização 21 e versões anteriores

Todas

Solução

A Adobe classifica essas atualizações com a seguinte avaliação de prioridade e recomenda que os usuários atualizem suas instalações para as versões mais recentes:

Produto

Versão atualizada

Plataforma

Classificação de prioridade

Disponibilidade

ColdFusion 2025

Atualização 4

Todas

1

ColdFusion 2023

Atualização 16

Todas

1

ColdFusion 2021

Atualização 22

Todas

1

Observação:

Por motivos de segurança, é altamente recomendável usar o conector java mysql mais recente. Para obter mais informações sobre o uso,  consulte https://helpx.adobe.com/br/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Consulte a documentação atualizada do filtro serial para obter mais detalhes sobre a proteção contra ataques de desserialização insegura do Wddx https://helpx.adobe.com/br/coldfusion/kb/coldfusion-serialfilter-file.html

Detalhes da vulnerabilidade

Categoria da vulnerabilidade

Impacto da vulnerabilidade

Severidade

Pontuação base de CVSS 

Números CVE

Limitação incorreta de um nome de caminho para um diretório restrito ("Caminho transversal") (CWE-22)

Gravação arbitrária do sistema de arquivos

Crítico

10.0

 

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

CVE-2025-54261

Agradecimentos:

A Adobe gostaria de agradecer aos seguintes pesquisadores por terem relatado esse problema e trabalhado com a Adobe para ajudar a proteger nossos clientes:   

  • Nhien Pham (nhienit2010) - CVE-2025-54261

OBSERVAÇÃO: a Adobe tem um programa público de recompensa por erros com o HackerOne. Se você estiver interessado em trabalhar com a Adobe como pesquisador de segurança externo, consulte-nos aqui: https://hackerone.com/adobe

Observação:

A Adobe recomenda atualizar sua versão do JDK/JRE LTS do ColdFusion para a versão mais recente. A página de downloads do ColdFusion é atualizada regularmente para incluir os instaladores Java mais recentes da versão do JDK compatível com a instalação de acordo com as matrizes abaixo. 

Para obter instruções sobre como usar um JDK externo, consulte Alterar JVM do ColdFusion

A Adobe recomenda que os clientes apliquem as configurações de segurança incluída nas documentações de segurança do ColdFusion, além de revisar os respectivos guias de bloqueio.    

Requisito de JDK do ColdFusion

COLDFUSION 2025 (versão 2023.0.0.331385) e posterior
Para servidores de aplicativos

Em instalações JEE, defina o seguinte sinalizado JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; ” no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativo usado.

Por exemplo:
Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo 'Catalina.bat/sh'
Servidor de aplicativos WebLogic: edite JAVA_OPTIONS no arquivo 'startWeblogic.cmd'
Servidor de aplicativos WildFly/EAP: edite JAVA_OPTS no arquivo 'standalone.conf'
Defina os sinalizadores JVM em uma instalação JEE do ColdFusion, não em uma instalação autônoma.

 

COLDFUSION 2023 (versão 2023.0.0.330468) e posterior
Para servidores de aplicativos

Em instalações JEE, defina o seguinte sinalizado JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;” no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativo usado.

Por exemplo:
Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo 'Catalina.bat/sh'
Servidor de aplicativos WebLogic: edite JAVA_OPTIONS no arquivo 'startWeblogic.cmd'
Servidor de aplicativos WildFly/EAP: edite JAVA_OPTS no arquivo 'standalone.conf'
Defina os sinalizadores JVM em uma instalação JEE do ColdFusion, não em uma instalação autônoma.

 

COLDFUSION 2021 (versão 2021.0.0.323925) e superior

Para servidores de aplicativos   

Em instalações do JEE, defina o seguinte sinalizador JVM: “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;

no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativos sendo usado.

Por exemplo:   

Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo "Catalina.bat/sh"   

Servidor de aplicativos WebLogic:  edite JAVA_OPTIONS no arquivo "startWeblogic.cmd"   

Servidor de aplicativos WildFly/EAP:  edite JAVA_OPTS no arquivo "standalone.conf"   

Defina os sinalizadores JVM em uma instalação de JEE de ColdFusion, não em uma instalação individual.   


Para mais informações, acesse https://helpx.adobe.com/br/security.html ou envie um email para PSIRT@adobe.com 

Adobe, Inc.

Receba ajuda com mais rapidez e facilidade

Novo usuário?