Adobe-säkerhetsbulletin

Sök

Senast uppdaterad den 16 dec. 2025

Säkerhetsuppdateringar tillgängliga för adobe coldfusion | APSB25-105

Bulletin-ID	Publiceringsdatum	Prioritet
APSB25-105	9 december 2025	1

Sammanfattning

Adobe har släppt säkerhetsuppdateringar för coldfusion-versionerna 2025, 2023 och 2021. Dessa uppdateringar löser av avgörande vikt och viktiga sårbarheter som kan leda till godtycklig filsystemskrivning, godtycklig filsystemsläsning, godtycklig kodkörning, förbikoppling av säkerhetsfunktioner och privilegieeskalering.

 Adobe har inga rapporter om att något problem som åtgärdas i dessa uppdateringar ska ha utnyttjats.

Berörda versioner

Produkt	Uppdateringsnummer	Plattform
ColdFusion 2025	Uppdatering 4 och tidigare versioner	Alla
ColdFusion 2023	Uppdatera 16 och tidigare versioner	Alla
ColdFusion 2021	Uppdatering 22 och tidigare versioner	Alla

Lösning

Adobe ger dessa uppdateringar följande prioritetsklassificering och rekommenderar användare att uppdatera till den senaste versionen:

Produkt	Uppdaterad version	Plattform	Prioritetsklassificering	Tillgänglighet
ColdFusion 2025	Uppdatering 5	Alla	1	Teknisk anmärkning
ColdFusion 2023	Uppdatering 17	Alla	1	Teknisk anmärkning
ColdFusion 2021	Uppdatering 23	Alla	1	Teknisk anmärkning

Obs!

Av säkerhetsskäl rekommenderar vi starkt att du använder den senaste MySQL Java-anslutningen. För mer information om dess användning, se: https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Se den uppdaterade dokumentationen för seriellt filter för mer information om skydd mot osäkra deserialiseringsattacker: https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html

Sårbarhetsinformation

Sårbarhetskategori	Sårbarhetens inverkan	Allvarlighet	CVSS-baspoäng	CVSS-vektor	CVE-nummer
Obegränsad uppladdning av fil med farlig typ (CWE-434)	Exekvering av godtycklig kod	Kritisk	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-61808
Felaktig validering av indata (CWE-20)	Åsidosättning av säkerhetsfunktion	Kritisk	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-61809
Deserialisering av ej tillförlitliga data (CWE-502)	Exekvering av godtycklig kod	Kritisk	8.4	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2025-61830
Deserialisering av ej tillförlitliga data (CWE-502)	Exekvering av godtycklig kod	Kritisk	8.2	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2025-61810
Felaktig åtkomstkontroll (CWE-284)	Exekvering av godtycklig kod	Kritisk	8.4	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2025-61811
Felaktig validering av indata (CWE-20)	Exekvering av godtycklig kod	Kritisk	8.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-61812
Felaktig begränsning av XML för extern enhetsreferens ('XXE') (CWE-611)	Godtycklig läsning av filsystem	Kritisk	8.2	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:L	CVE-2025-61813
Felaktig begränsning av XML för extern enhetsreferens ('XXE') (CWE-611)	Godtycklig läsning av filsystem	Viktigt	6.8	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N	CVE-2025-61821
Felaktig validering av indata (CWE-20)	Godtycklig skrivning till filsystem	Viktigt	6.2	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	CVE-2025-61822
Felaktig begränsning av XML för extern enhetsreferens ('XXE') (CWE-611)	Godtycklig läsning av filsystem	Viktigt	6.2	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	Viktigt CVE-2025-61823
Felaktig åtkomstkontroll (CWE-284)	Eskalering av behörighet	Viktigt	5.6	CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:H	CVE-2025-64897
Otillräckligt skyddade inloggningsuppgifter (CWE-522)	Eskalering av behörighet	Viktigt	4.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	CVE-2025-64898

Tack:

Adobe tackar följande forskare för att de har rapporterat det här problemet och för att de samarbetar med Adobe i säkerhetsfrågor:   

Brian Reilly (reillyb) -- CVE-2025-61808, CVE-2025-61809
Nhien Pham (nhienit2010) -- CVE-2025-61812, CVE-2025-61822, CVE-2025-61823
nbxiglk -- CVE-2025-61810, CVE-2025-61811, CVE-2025-61813, CVE-2025-61821, CVE-2025-61830
Karol Mazurek (cr1m5on) -- CVE-2025-64897
bytehacker_sg -- CVE-2025-64898

Obs! Adobe har ett offentligt program ihop med HackerOne för att hitta fel. Om du är intresserad av att arbeta med Adobe som extern säkerhetsforskare kan du läsa mer på https://hackerone.com/adobe

Obs!

Adobe rekommenderar att du uppdaterar ColdFusion JDK/JRE LTS-versionen till den senaste uppdaterade versionen som en säker praxis. ColdFusions hämtningssida uppdateras regelbundet för att inkludera de senaste Java-installationsprogrammen för den JDK-version som din installation stöder enligt matriserna nedan.

Anvisningar om hur du använder en extern JDK finns i Ändra ColdFusion JVM.

Adobe rekommenderar också att du använder de säkerhetskonfigurationsinställningar som finns i ColdFusion Security-dokumentationen samt att du läser igenom respektive Lockdown-guide.   

JDK-krav för ColdFusion

COLDFUSION 2025 (version 2023.0.0.331385) och senare versioner
För applikationsservrar

På JEE-installationer ställer du in följande JVM-flagga, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" i respektive startfil beroende på vilken typ av applikationsserver som används.**

Till exempel:
Apache Tomcat-programserver: utgåva JAVA_OPTS i ”Catalina.bat/sh”-filen
WebLogic-programserver: utgåva JAVA_OPTIONS i ”startWeblogic.cmd”-filen
WildFly/EAP-programserver: utgåva JAVA_OPTS i ”standalone.conf”-filen
Ställ in JVM-flaggor på en JEE-installation av ColdFusion, inte på en fristående installation.

COLDFUSION 2023 (version 2023.0.0.330468) och senare versioner
För applikationsservrar

På JEE-installationer ställer du in följande JVM-flagga, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" i respektive startfil beroende på vilken typ av applikationsserver som används.

COLDFUSION 2021 (version 2021.0.0.323925) och senare

För programservrar  

På JEE-installationer ska följande JVM-flagga anges “: -Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;

i respektive uppstartfil beroende på vilken typ av programserver som används.

Till exempel:  

Apache Tomcat programserver: Redigera JAVA_OPTS i filen Catalina.bat/sh  

WebLogic programserver:  Redigera JAVA_OPTIONS i filen startWeblogic.cmd  

WildFly/EAP programserver:  Redigera JAVA_OPTS i filen standalone.conf  

Ställ in JVM-flaggorna på en JEE-installation av ColdFusion, inte på en fristående installation.  

Mer information finns på https://helpx.adobe.com/se/security.html eller skicka mejl till PSIRT@adobe.com

Få hjälp snabbare och enklare

Ny användare?