Идентификатор бюллетеня
Последнее обновление
18 дек. 2025 г.
Доступны обновления системы безопасности для Adobe ColdFusion | APSB25-105
|
|
Дата публикации |
Приоритет |
|
APSB25-105 |
9 декабря 2025 г. |
1 |
Сводка
Компания Adobe выпустила обновления системы безопасности для ColdFusion версий 2025, 2023 и 2021. Эти обновления позволяют устранить критические и важные уязвимости, которые могли привести к произвольной записи в файловую систему, произвольному чтению из нее, выполнению произвольного кода и повышению уровня полномочий.
Adobe не имеет информации о свободном характере использования этих проблем в данных обновлениях.
Затронутые версии
|
Продукт |
Номер обновления |
Платформа |
|
ColdFusion 2025 |
Обновление 4 и более ранних версий |
Все |
|
ColdFusion 2023 |
Обновление 16 и более ранние версии |
Все |
|
ColdFusion 2021 |
Обновление 22 и более ранних версий |
Все |
Решение
Adobe категоризирует эти обновления при помощи рейтингов приоритета и рекомендует пользователям обновлять установленное ПО до последних версий:
|
Продукт |
Обновленная версия |
Платформа |
Рейтинг приоритета |
Доступность |
|---|---|---|---|---|
|
ColdFusion 2025 |
Обновление 5 |
Все |
1 |
|
|
ColdFusion 2023 |
Обновление 17 |
Все |
1 |
|
|
ColdFusion 2021 |
Обновление 23 |
Все |
1 |
Примечание.
В целях безопасности мы настоятельно рекомендуем использовать последнюю версию программы MySQL Java Connector. Для получения более подробной информации о ее использовании см. страницу https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html
Более подробную информацию о защите от атак по небезопасной десериализации см. в обновленной документации по серийному фильтру на странице https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Сведения об уязвимости
|
Категория уязвимости |
Влияние уязвимости |
Серьезность |
Базовая оценка CVSS |
Номера CVE |
|
|
Неограниченная выгрузка файлов опасного типа (CWE-434)
|
Выполнение произвольного кода |
Критическая |
9.1 |
|
CVE-2025-61808 |
|
Неправильная проверка ввода (CWE-20) |
Обход функции безопасности |
Критическая |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
CVE-2025-61809 |
|
Десериализация ненадежных данных (CWE-502) |
Выполнение произвольного кода |
Критическая |
8.4 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
CVE-2025-61830 |
|
Десериализация ненадежных данных (CWE-502) |
Выполнение произвольного кода |
Критическая |
8.2 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
CVE-2025-61810 |
|
Неправильный контроль доступа (CWE-284) |
Выполнение произвольного кода |
Критическая |
8.4 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H |
CVE-2025-61811 |
|
Неправильная проверка ввода (CWE-20) |
Выполнение произвольного кода |
Критическая |
8.4 |
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-61812 |
|
Несоответствующее ограничение ссылки на внешний объект ('XXE') (CWE-611) |
Чтение в произвольной файловой системе |
Критическая |
8.2 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:L |
CVE-2025-61813 |
|
Несоответствующее ограничение ссылки на внешний объект ('XXE') (CWE-611) |
Чтение в произвольной файловой системе |
Важная |
6.8 |
|
CVE-2025-61821 |
|
Неправильная проверка ввода (CWE-20) |
Запись в произвольную файловую систему |
Важная |
6.2 |
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N |
CVE-2025-61822 |
|
Несоответствующее ограничение ссылки на внешний объект ('XXE') (CWE-611) |
Чтение в произвольной файловой системе |
Важная |
6.2 |
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N |
Важная CVE-2025-61823 |
|
Неправильный контроль доступа (CWE-284) |
Повышение уровня полномочий |
Важная |
5.6 |
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:H
|
CVE-2025-64897 |
|
Недостаточно защищенные учетные данные (CWE-522) |
Повышение уровня полномочий |
Важная |
4.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2025-64898 |
Благодарности:
Компания Adobe выражает благодарность следующим исследователям за сообщение об этой проблеме и за помощь Adobe в защите наших клиентов:
- Brian Reilly (reillyb) — CVE-2025-61808, CVE-2025-61809
- Nhien Pham (nhienit2010) -- CVE-2025-61812, CVE-2025-61822, CVE-2025-61823
- nbxiglk -- CVE-2025-61810, CVE-2025-61811, CVE-2025-61813, CVE-2025-61821, CVE-2025-61830
- Karol Mazurek (cr1m5on) -- CVE-2025-64897
- bytehacker_sg --CVE-2025-64898
ПРИМЕЧАНИЕ: Adobe имеет частную программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, зайдите на наш сайт: https://hackerone.com/adobe
Примечание.
В целях безопасности Adobe рекомендует обновить ColdFusion JDK/JRE версии LTS до последней версии выпуска. Страница загрузки ColdFusion регулярно обновляется и включает в себя последние версии инсталляторов Java для JDK, поддерживаемых вашей установкой, в соответствии с приведенными ниже матрицами.
Инструкции по использованию внешнего JDK см. на сайте Change ColdFusion JVM.
Компания Adobe рекомендует применять параметры конфигурации безопасности, приведенные в документации ColdFusion Security, а также ознакомиться с соответствующими руководствами Lockdown.
Требования для набора средств ColdFusion JDK
COLDFUSION 2025 (версия 2023.0.0.331385) и выше
Для серверов приложений
В настройках JEE установите следующий флаг JVM “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " в соответствующем файле запуска в зависимости от типа используемого сервера приложений.
Например:
Сервер приложений Apache Tomcat: отредактируйте JAVA_OPTS в файле «Catalina.bat/sh»
Сервер приложений WebLogic: отредактируйте JAVA_OPTIONS в файле «startWeblogic.cmd»
Сервер приложений WildFly/EAP: отредактируйте JAVA_OPTS в файле «standalone.conf»
Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.
COLDFUSION 2023 (версия 2023.0.0.330468) и выше
Для серверов приложений
В настройках JEE установите следующий флаг JVM “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " в соответствующем файле запуска в зависимости от типа используемого сервера приложений.
Например:
Сервер приложений Apache Tomcat: отредактируйте JAVA_OPTS в файле «Catalina.bat/sh»
Сервер приложений WebLogic: отредактируйте JAVA_OPTIONS в файле «startWeblogic.cmd»
Сервер приложений WildFly/EAP: отредактируйте JAVA_OPTS в файле «standalone.conf»
Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.
COLDFUSION 2021 (версия 2021.0.0.323925) и выше
Для серверов приложений
В настройках JEE установите следующий флаг JVM “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"
в соответствующем файле запуска в зависимости от типа используемого сервера приложений.
Например:
На сервере приложений Apache Tomcat измените раздел JAVA_OPTS в файле Catalina.bat/sh
На сервере приложений WebLogic измените раздел JAVA_OPTIONS в файле startWeblogic.cmd
На сервере приложений WildFly/EAP измените раздел JAVA_OPTS в файле standalone.conf
Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.
Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com
