Бюллетень безопасности Adobe

Обновления системы безопасности для Adobe ColdFusion | APSB22-22

Идентификатор бюллетеня

Дата публикации

Приоритет

APSB22-22

10 мая 2022 г.

3

Сводка

Компания Adobe выпустила обновления системы безопасности для ColdFusion версий 2021 и 2018. В этих обновлениях устранена важная  уязвимость, которая может привести к выполнению произвольного кода.
   

Затронутые версии

Продукт

Номер обновления

Платформа

ColdFusion 2018

Обновление 13 и более ранние версии    

Все

ColdFusion 2021

Версия 3 и более ранние версии 

Все

Решение

Adobe категоризирует эти обновления при помощи рейтингов приоритета и рекомендует пользователям обновлять установленное ПО до последних версий:

Продукт

Обновленная версия

Платформа

Рейтинг приоритета

Доступность

ColdFusion 2018

Обновление 14

Все

3

ColdFusion 2021

Обновление 4

Все

3

Примечание.

Компания Adobe рекомендует обновить ColdFusion JDK/JRE до последней версии выпусков LTS для 1.8 и JDK 11. Применение обновления ColdFusion без соответствующего обновления набора средств JDK НЕ будет защищать сервер.См. соответствующие технические примечания для получения более подробной информации. 

Компания Adobe также рекомендует пользователям применить настройки конфигурации системы безопасности, приведенные на странице безопасности ColdFusion, а также ознакомиться с соответствующим руководством по блокировке.    

Сведения об уязвимости

Категория уязвимости

Влияние уязвимости

Серьезность

Базовая оценка CVSS 

Номера CVE

Межсайтовый скриптинг (отраженный) (CWE-79)

Выполнение произвольного кода

Важная 

5.4

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

CVE-2022-28818

Благодарности

Компания Adobe приносит благодарность следующим людям и организациям за сообщение о релевантных проблемах и за помощь Adobe в обеспечении защиты наших клиентов:

  • UB3RSiCK (ub3rsick) — CVE-2022-28818

Требования для набора средств ColdFusion JDK

COLDFUSION 2021 (Версия 2021.0.0.323925) и выше

Для серверов приложений   

В настройках JEE установите следующий флаг JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", в соответствующем файле запуска в зависимости от типа используемого сервера приложений. 

Например:   

На сервере приложений Apache Tomcat измените раздел JAVA_OPTS в файле Catalina.bat/sh

На сервере приложений WebLogic измените раздел JAVA_OPTIONS в файле startWeblogic.cmd   

На сервере приложений WildFly/EAP измените раздел JAVA_OPTS в файле standalone.conf   

Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.   

 

COLDFUSION 2018 HF1 и выше  

Для серверов приложений   

В настройках JEE установите следующий флаг JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**", в соответствующем файле запуска в зависимости от типа используемого сервера приложений. 

Например:   

На сервере приложений Apache Tomcat измените раздел JAVA_OPTS в файле Catalina.bat/sh

На сервере приложений WebLogic измените раздел JAVA_OPTIONS в файле startWeblogic.cmd   

На сервере приложений WildFly/EAP измените раздел JAVA_OPTS в файле standalone.conf   

Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.   

 


Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com 

 Adobe

Получайте помощь быстрее и проще

Новый пользователь?

Adobe MAX 2024

Adobe MAX
— творческая конференция

С 14 по 16 октября очно в Майами-Бич и онлайн

Adobe MAX

Творческая конференция

С 14 по 16 октября очно в Майами-Бич и онлайн

Adobe MAX 2024

Adobe MAX
— творческая конференция

С 14 по 16 октября очно в Майами-Бич и онлайн

Adobe MAX

Творческая конференция

С 14 по 16 октября очно в Майами-Бич и онлайн