Adobe Güvenlik Bülteni

Ara

Son güncelleme: 18 Ara 2025

Adobe ColdFusion için güvenlik güncellemeleri mevcut | APSB25-105

Bülten No	Yayınlandığı Tarih	Öncelik
APSB25-105	9 Aralık 2025	1

Özet

Adobe, ColdFusion sürümleri 2025, 2023 ve 2021 için güvenlik güncellemeleri yayımladı. Bu güncellemeler, kritik ve önemli güvenlik açıklarını gidermektedir; bu açıktan başarıyla yararlanılması rastgele sistem dosyası okunmasına, rastgele kod yürütmeye ve ayrıcalık yükseltmeye yol açabilir.

 Adobe, bu güncellemelerde ele alınan sorunların şirket dışında yaşandığına dair bir duyum almamıştır.

Etkilenen Sürümler

Ürün	Güncelleme numarası	Platform
ColdFusion 2025	Güncelleme 4 ve önceki sürümler	Tümü
ColdFusion 2023	16 ve daha önceki sürümleri güncelle	Tümü
ColdFusion 2021	Güncelleme 22 ve önceki sürümler	Tümü

Çözüm

Adobe, bu güncellemeleri aşağıdaki öncelik derecelendirmelerine göre sınıflandırır ve kullanıcıların yüklemelerini en yeni sürümlere güncellemelerini önerir:

Ürün	Güncel sürüm	Platform	Öncelik derecelendirmesi	Bulunma Durumu
ColdFusion 2025	Güncelleme 5	Tümü	1	Teknik Not
ColdFusion 2023	Güncelleme 17	Tümü	1	Teknik Not
ColdFusion 2021	Güncelleme 23	Tümü	1	Teknik Not

Not:

Güvenlik nedeniyle en son MySQL Java bağlayıcısını kullanmanızı şiddetle öneririz. Kullanımı hakkında daha fazla bilgi için lütfen bkz.: https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Güvenli olmayan seri durumundan çıkarma saldırılarına karşı koruma hakkında daha fazla bilgi için güncellenmiş seri filtre belgelerine bakın: https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html

Güvenlik Açığı Detayları

Güvenlik Açığı Kategorisi	Güvenlik Açığı Etkisi	Önem Derecesi	CVSS baz skoru	CVSS vektörü	CVE Numaraları
Tehlikeli Türde Dosyaların Kısıtlamasız Yüklenmesi (CWE-434)	Rastgele kod yürütme	Kritik	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-61808
Uygunsuz Giriş Doğrulaması (CWE-20)	Güvenlik özelliği atlatması	Kritik	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-61809
Güvenilmeyen Verilerin seri durumundan çıkarılması(CWE-502)	Rastgele kod yürütme	Kritik	8.4	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2025-61830
Güvenilmeyen Verilerin seri durumundan çıkarılması(CWE-502)	Rastgele kod yürütme	Kritik	8.2	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2025-61810
Uygunsuz Erişim Kontrolü (CWE-284)	Rastgele kod yürütme	Kritik	8.4	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H	CVE-2025-61811
Uygunsuz Giriş Doğrulaması (CWE-20)	Rastgele kod yürütme	Kritik	8.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-61812
Improper Restriction of XML External Entity Reference ('XXE') (CWE-611)	Rastgele sistem dosyası okunması	Kritik	8.2	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:L	CVE-2025-61813
Improper Restriction of XML External Entity Reference ('XXE') (CWE-611)	Rastgele sistem dosyası okunması	Önemli	6.8	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N	CVE-2025-61821
Uygunsuz Giriş Doğrulaması (CWE-20)	Rastgele sistem dosyası yazılması	Önemli	6.2	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	CVE-2025-61822
Improper Restriction of XML External Entity Reference ('XXE') (CWE-611)	Rastgele sistem dosyası okunması	Önemli	6.2	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	Önemli CVE-2025-61823
Uygunsuz Erişim Kontrolü (CWE-284)	Ayrıcalık yükseltme	Önemli	5.6	CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:H	CVE-2025-64897
Yetersiz Korunan Kimlik Bilgileri (CWE-522)	Ayrıcalık yükseltme	Önemli	4.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	CVE-2025-64898

Teşekkür:

Adobe, bu sorunu bildirdikleri ve müşterilerimizin korunmasına yardımcı olmak için Adobe ile çalıştıkları için aşağıdaki araştırmacılara teşekkür eder:   

Brian Reilly (reillyb) -- CVE-2025-61808, CVE-2025-61809
Nhien Pham (nhienit2010) -- CVE-2025-61812, CVE-2025-61822, CVE-2025-61823
nbxiglk -- CVE-2025-61810, CVE-2025-61811, CVE-2025-61813, CVE-2025-61821, CVE-2025-61830
Karol Mazurek (cr1m5on) -- CVE-2025-64897
bytehacker_sg --CVE-2025-64898

NOT: Adobe'nin HackerOne ile herkese açık hata ödül programı vardır. Adobe ile harici bir güvenlik araştırmacısı olarak çalışmakla ilgileniyorsanız lütfen https://hackerone.com/adobe sayfasına göz atın.

Not:

Adobe, güvenli bir uygulama olarak ColdFusion JDK/JRE LTS sürümünüzü en son güncelleme sürümüne güncellemenizi önerir. ColdFusion indirme sayfası, aşağıdaki matrislere göre kurulumunuzun desteklediği JDK sürümü için en son Java yükleyicilerini içerecek şekilde düzenli olarak güncellenir.

Harici bir JDK'nın nasıl kullanılacağına ilişkin talimatlar için ColdFusion JVM'yi Değiştirme bölümüne bakın.

Ayrıca Adobe, güvenlik yapılandırma ayarlarının ColdFusion Güvenlik sayfasında belirtildiği şekilde uygulanmasını ve ilgili Kilitleme kılavuzlarının gözden geçirilmesini önerir.   

ColdFusion JDK Gerekliliği

COLDFUSION 2025 (sürüm 2023.0.0.331385) ve üzeri
Uygulama Sunucuları için

JEE kurulumlarında, hangi Uygulama Sunucusu türü kullanılırsa kullanılsın şu JVM uyarısını ayarlayın: “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;".

Örneğin:
Apache Tomcat Uygulama Sunucusu: 'Catalina.bat/sh' dosyasında JAVA_OPTS'u düzenleyin
WebLogic Uygulama Sunucusu: 'startWeblogic.cmd' dosyasında JAVA_OPTIONS'u düzenleyin
WildFly/EAP Uygulama Sunucusu: 'standalone.conf' dosyasında JAVA_OPTS'u düzenleyin
JVM uyarılarını ColdFusion'ın JEE kurulumunda ayarlayın, bağımsız bir kurulumda değil.

COLDFUSION 2023 (sürüm 2023.0.0.330468) ve üzeri
Uygulama Sunucuları için

JEE kurulumlarında, hangi Uygulama Sunucusu türü kullanılırsa kullanılsın şu JVM uyarısını ayarlayın: “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;".

COLDFUSION 2021 (Sürümü 2021.0.0.323925) ve üzeri

Uygulama Sunucuları İçin  

JEE yüklemelerinde şu JVM uyarısını ayarlayın: “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

kullanılan Uygulama Sunucusu’nun türüne göre belirli başlangıç dosyasında.

Örneğin:  

Apache Tomcat Uygulama Sunucusu: ‘Catalina.bat/sh’ dosyasında JAVA_OPTS'u düzenleyin  

WebLogic Uygulama Sunucusu: ‘startWeblogic.cmd’ dosyasında JAVA_OPTIONS'ı düzenleyin  

WildFly/EAP Uygulama Sunucusu: ‘standalone.conf’ dosyasında JAVA_OPTS'u düzenleyin  

ColdFusion JEE kurulumunda (tekli kurulumda değil) JVM bayraklarını ayarlayın.  

Daha fazla bilgi için https://helpx.adobe.com/tr/security.html adresini ziyaret edin veya PSIRT@adobe.com adresine e-posta gönderin

Daha hızlı ve daha kolay yardım alın

Yeni kullanıcı mısınız?