ID buletin
Ultima actualizare la
27 iun. 2024
Actualizări de securitate disponibile pentru Adobe ColdFusion | APSB24-41
|
|
Data publicării |
Prioritatea |
|
APSB24-41 |
11 iunie 2024 |
3 |
Sumar
Adobe a lansat actualizări de securitate pentru ColdFusion, versiunile 2023 și 2021. Aceste actualizări rezolvă vulnerabilități importante, care ar putea duce la citirea arbitrară a sistemului de fișiere și la ocolirea caracteristicilor de securitate.
Versiunile afectate
|
Produs |
Număr actualizare |
Platformă |
|
ColdFusion 2023 |
Actualizarea 7 și versiunile anterioare |
Toate |
|
ColdFusion 2021 |
Actualizarea 13 și versiunile anterioare |
Toate |
Soluție
Adobe clasifică aceste actualizări cu următoarele evaluări de prioritate și recomandă utilizatorilor să își actualizeze instalările la cele mai recente versiuni:
|
Produs |
Versiune actualizată |
Platformă |
Evaluare a priorității |
Disponibilitate |
|---|---|---|---|---|
|
ColdFusion 2023 |
Update 8 |
Toate |
3 |
|
|
ColdFusion 2021 |
Update 14 |
Toate |
3 |
Notă:
Consultați documentația actualizată a filtrului serial pentru mai multe detalii despre protecția împotriva atacurilor de deserializare Wddx nesigure https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Detalii privind vulnerabilitatea
|
Categoria de vulnerabilitate |
Impactul vulnerabilității |
Severitate |
Scor de bază CVSS |
Numere CVE |
|
|
Control inadecvat al accesului (CWE-284) |
Citire arbitrară din sistemul de fișiere |
Importantă |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-34112 |
|
Criptografie slabă pentru parole (CWE-261) |
Ocolirea caracteristicii de securitate |
Importantă |
6.2 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2024-34113 |
Mențiuni:
Adobe dorește să le mulțumească următorilor cercetători pentru raportarea acestei probleme și pentru colaborarea cu Adobe în scopul protejării clienților noștri:
- Brian (reillyb) - CVE-2024-34112
- Ian Hickey (ionatomic) - CVE-2024-34113
NOTĂ: Adobe are un program privat de recompensă pentru erori, cu invitație exclusivă, cu HackerOne. Dacă sunteți interesat să lucrați cu Adobe în calitate de cercetător extern în domeniul securității, completați acest formular pentru pașii următori.
Notă:
Adobe recomandă actualizarea versiunii LTS JDK/JRE ColdFusion la ultima actualizare lansată, ca măsură de securitate. Pagina de descărcări ColdFusion este actualizată în mod regulat pentru a include cele mai recente programe de instalare Java pentru versiunea JDK pe care o acceptă instalarea dumneavoastră, conform matricelor de mai jos.
Pentru instrucțiuni privind modul de utilizare a unui JDK extern, consultați Schimbare JVM ColdFusion.
Adobe recomandă, de asemenea, aplicarea setărilor de configurare a securității incluse în documentația ColdFusion Security, precum și revizuirea ghidurilor Lockdown respective.
Cerință JDK ColdFusion
COLDFUSION 2023 (versiunea 2023.0.0.330468) și versiunile ulterioare
Pentru serverele de aplicații
Pe instalările JEE, setați următorul marcaj JVM, „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**”, în fișierul de pornire corespunzător, în funcție de tipul de server de aplicații utilizat.
De exemplu:
Serverul de aplicații Apache Tomcat: editați JAVA_OPTS în fișierul 'Catalina.bat/sh'
Serverul de aplicații WebLogic: editați JAVA_OPTIONS în fișierul 'startWeblogic.cmd'
Serverul de aplicații WildFly/EAP: editați JAVA_OPTS în fișierul 'standalone.conf'
Setați marcajele JVM pe o instalare JEE de ColdFusion, nu pe o instalare independentă.
COLDFUSION 2021 (Versiunea 2021.0.0.323925) și mai recent
Pentru servere de aplicații
Pe instalările JEE, setați următorul marcaj JVM, „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**”
în fișierul de pornire corespunzător, în funcție de tipul de server de aplicații utilizat.
De exemplu:
Pe serverul de aplicații Apache Tomcat: editați JAVA_OPTS în fișierul „Catalina.bat/sh”
Serverul de aplicații WebLogic: editați JAVA_OPTIONS în fișierul „startWeblogic.cmd”
Serverul de aplicații WildFly/EAP: editați JAVA_OPTS în fișierul „standalone.conf”
Setați marcajele JVM pe o instalare JEE de ColdFusion, nu pe o instalare independentă.
Pentru mai multe informații, vizitați https://helpx.adobe.com/ro/security.html sau trimiteți e-mail la PSIRT@adobe.com
