Идентификатор бюллетеня
Последнее обновление
2 авг. 2023 г.
Обновления системы безопасности для Adobe ColdFusion | APSB23-40
|
|
Дата публикации |
Приоритет |
|
APSB23-40 |
11 июля 2023 г. |
1 |
Сводка
Компания Adobe выпустила обновления безопасности для ColdFusion версий 2023, 2021 и 2018. В этих обновлениях устранены критические и важные уязвимости, которые могли привести к выполнению произвольного кода и обходу функций безопасности .
Adobe известно, что уязвимость CVE-2023-29298 активно использовалась в ограниченных атаках, нацеленных на продавцов Adobe ColdFusion.
Затронутые версии
|
Продукт |
Номер обновления |
Платформа |
|
ColdFusion 2018 |
Обновление 16 для и более ранних версий |
Все |
|
ColdFusion 2021 |
Обновление 6 и более ранних версий |
Все |
|
ColdFusion 2023 |
Общедоступный выпуск (2023.0.0.330468) |
Все |
Решение
Adobe категоризирует эти обновления при помощи рейтингов приоритета и рекомендует пользователям обновлять установленное ПО до последних версий:
|
Продукт |
Обновленная версия |
Платформа |
Рейтинг приоритета |
Доступность |
|---|---|---|---|---|
|
ColdFusion 2018 |
Обновление 17 |
Все |
1 |
|
|
ColdFusion 2021 |
Обновление 7 |
Все |
1 |
|
|
ColdFusion 2023 |
Обновление 1 |
Все |
1 |
Примечание.
Adobe рекомендует обновить ColdFusion JDK/JRE версии LTS до последней версии выпуска. Чтобы узнать поддерживаемую версию JDK, см. матрицу поддержки ColdFusion ниже
Применение обновления ColdFusion без соответствующего обновления набора средств JDK НЕ будет защищать сервер. См. соответствующие технические примечания для получения более подробной информации.
Компания Adobe также рекомендует пользователям применить настройки конфигурации системы безопасности, приведенные на странице безопасности ColdFusion, а также ознакомиться с соответствующим руководством по блокировке.
Сведения об уязвимости
|
Категория уязвимости |
Влияние уязвимости |
Серьезность |
Базовая оценка CVSS |
Номера CVE |
|
|
Неправильный контроль доступа (CWE-284) |
Обход функции безопасности |
Критическая |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-29298 |
|
Десериализация ненадежных данных (CWE-502) |
Выполнение произвольного кода |
Критическая |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2023-29300 |
|
Некорректное ограничение количества попыток аутентификации, превышающих максимальное (CWE-307) |
Обход функции безопасности |
Важная |
5.9 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2023-29301 |
Благодарности
Компания Adobe приносит благодарность следующим людям и организациям за сообщение о релевантных проблемах и за помощь Adobe в обеспечении защиты наших клиентов:
- Стивен Фьюэр — CVE-2023-29298
- Николас Зилио (CrowdStrike) — CVE-2023-29300
- Брайан Рейлли — CVE-2023-29301
ПРИМЕЧАНИЕ. Adobe имеет частную, доступную только для приглашенных программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, заполните эту форму.
Требования для набора средств ColdFusion JDK
COLDFUSION 2023 (версия 2023.0.0.330468) и выше
Для серверов приложений
В настройках JEE установите следующий флаг JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**; !org.jgroups.**" в соответствующем файле запуска в зависимости от типа используемого сервера приложений.
Например:
Сервер приложений Apache Tomcat: отредактируйте JAVA_OPTS в файле «Catalina.bat/sh»
Сервер приложений WebLogic: отредактируйте JAVA_OPTIONS в файле «startWeblogic.cmd»
Сервер приложений WildFly/EAP: отредактируйте JAVA_OPTS в файле «standalone.conf»
Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.
COLDFUSION 2021 (Версия 2021.0.0.323925) и выше
Для серверов приложений
В настройках JEE установите следующий флаг JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**; !org.jgroups.**" в соответствующем файле запуска в зависимости от типа используемого сервера приложений.
Например:
На сервере приложений Apache Tomcat измените раздел JAVA_OPTS в файле Catalina.bat/sh
На сервере приложений WebLogic измените раздел JAVA_OPTIONS в файле startWeblogic.cmd
На сервере приложений WildFly/EAP измените раздел JAVA_OPTS в файле standalone.conf
Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.
COLDFUSION 2018 HF1 и выше
Для серверов приложений
В настройках JEE установите следующий флаг JVM: "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**; !org.jgroups.**" в соответствующем файле запуска в зависимости от типа используемого сервера приложений.
Например:
На сервере приложений Apache Tomcat измените раздел JAVA_OPTS в файле Catalina.bat/sh
На сервере приложений WebLogic измените раздел JAVA_OPTIONS в файле startWeblogic.cmd
На сервере приложений WildFly/EAP измените раздел JAVA_OPTS в файле standalone.conf
Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.
Редакции
19 июля 2023 г.
- Обновлен раздел сводной информации, чтобы указать, что Adobe известно, что уязвимость CVE-2023-29298 активно использовалась в ограниченных атаках, нацеленных на продавцов Adobe ColdFusion.
Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com