Bulletin-ID
Senast uppdaterad den
28 nov. 2023
Säkerhetsuppdateringar tillgängliga för Adobe ColdFusion | APSB23-52
|
|
Publiceringsdatum |
Prioritet |
|
APSB23-52 |
14 november 2023 |
3 |
Sammanfattning
Berörda versioner
|
Produkt |
Uppdateringsnummer |
Plattform |
|
ColdFusion 2023 |
Uppdatering 5 och tidigare versioner |
Alla |
|
ColdFusion 2021 |
Uppdatering 11 och tidigare versioner |
Alla |
Lösning
Adobe ger dessa uppdateringar följande prioritetsklassificering och rekommenderar användare att uppdatera till den senaste versionen:
|
Produkt |
Uppdaterad version |
Plattform |
Prioritetsklassificering |
Tillgänglighet |
|---|---|---|---|---|
|
ColdFusion 2023 |
Uppdatering 6 |
Alla |
3 |
|
|
ColdFusion 2021 |
Uppdatering 12 |
Alla |
3 |
Obs!
För mer information om skydd mot osäkra WDDX-deserialiseringsattacker, se https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Sårbarhetsinformation
|
Sårbarhetskategori |
Sårbarhetens inverkan |
Allvarlighet |
CVSS-baspoäng |
CVE-nummer |
|
|
Deserialisering av ej tillförlitliga data (CWE-502) |
Exekvering av godtycklig kod |
Kritisk |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
CVE-2023-44350 |
|
Felaktig åtkomstkontroll (CWE-284) |
Åsidosättning av säkerhetsfunktion |
Kritisk |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-26347 |
|
Deserialisering av ej tillförlitliga data (CWE-502) |
Exekvering av godtycklig kod |
Kritisk |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-44351 |
|
Serveröverskridande skriptning (reflekterad XSS) (CWE-79) |
Exekvering av godtycklig kod |
Viktigt |
6.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2023-44352 |
|
Deserialisering av ej tillförlitliga data (CWE-502) |
Exekvering av godtycklig kod |
Viktig |
5.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2023-44353 |
|
Felaktig validering av indata (CWE-20) |
Exekvering av godtycklig kod |
Måttlig |
4.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
CVE-2023-44355 |
Tack:
Adobe tackar följande forskare för att de har rapporterat det här problemet och för att de samarbetar med Adobe i säkerhetsfrågor:
- Brian Reilly – CVE-2023-44350, CVE-2023-44355
- Daniel Jensen – CVE-2023-44351
- pwnii (pwnwithlove) – CVE-2023-44352
- McCaulay Hudson – CVE-2023-44353
- Matthew Galligan och Jon Cagan, CISA – CVE-2023-26347
Obs! Adobe har ett privat program ihop med HackerOne för att hitta fel. Gäller endast för inbjudna. Om du är intresserad av att samarbeta med Adobe med en extern säkerhetsundersökning ska du fylla i det här formuläret för nästa steg.
Obs!
Adobe rekommenderar att du uppdaterar ColdFusion JDK/JRE LTS-versionen till den senaste uppdaterade versionen. Se ColdFusions supportmatris nedan för att se den stödda JDK-versionen.
ColdFusions supportmatris:
CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf
CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf
Servern skyddas INTE om du gör ColdFusion-uppdateringen utan motsvarande JDK-uppdatering. Mer information finns i tillämplig teknisk kommentar.
Adobe rekommenderar även att kunderna använder de säkerhetskonfigurationsinställningar som anges på ColdFusions säkerhetssida samt att de läser igenom respektive Lockdown Guide.
JDK-krav för ColdFusion
COLDFUSION 2023 (version 2023.0.0.330468) och senare
För programservrar
För JEE-installationer ska du ställa in följande JVM-flagga, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" i respektive uppstartfil beroende på vilken typ av programserver som används.
Till exempel:
Apache Tomcat-programserver: utgåva JAVA_OPTS i ”Catalina.bat/sh”-filen
WebLogic-programserver: utgåva JAVA_OPTIONS i ”startWeblogic.cmd”-filen
WildFly/EAP-programserver: utgåva JAVA_OPTS i ”standalone.conf”-filen
Ställ in JVM-flaggor på en JEE-installation av ColdFusion, inte på en fristående installation.
COLDFUSION 2021 (version 2021.0.0.323925) och senare
För programservrar
Ange följande JVM-flagga på JEE-installationer, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"
i respektive uppstartfil beroende på vilken typ av programserver som används.
Till exempel:
Apache Tomcat programserver: Redigera JAVA_OPTS i filen Catalina.bat/sh
WebLogic programserver: Redigera JAVA_OPTIONS i filen startWeblogic.cmd
WildFly/EAP programserver: Redigera JAVA_OPTS i filen standalone.conf
Ställ in JVM-flaggorna på en JEE-installation av ColdFusion, inte på en fristående installation.
Mer information finns på https://helpx.adobe.com/se/security.html eller skicka mejl till PSIRT@adobe.com
