公告 ID
上次更新日期：
2025年4月24日
Adobe ColdFusion 的安全更新 | APSB25-15
|
|
发布日期 |
优先级 |
|
APSB25-15 |
2025 年 4 月 8 日 |
1 |
摘要
受影响的版本
|
产品 |
更新编号 |
平台 |
|
ColdFusion 2025 |
内部版本 331385 |
全部 |
|
ColdFusion 2023 |
更新 12 及早期版本 |
全部 |
|
ColdFusion 2021 |
更新 18 及早期版本 |
全部 |
解决方案
Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本：
注意:
有关防御不安全 Wddx 反序列化攻击的更多详细信息，请参阅更新的串行筛选器文档：https://helpx.adobe.com/cn/coldfusion/kb/coldfusion-serialfilter-file.html
漏洞详情
|
漏洞类别 |
漏洞影响 |
严重性 |
CVSS 基础评分 |
CVE 编号 |
|
|
不当的输入验证 (CWE-20) |
任意文件系统读取 |
关键 |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-24446 |
|
不受信任的数据反序列化 (CWE-502) |
任意代码执行 |
关键 |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
CVE-2025-24447 |
|
不当的访问控制（CWE-284） |
任意文件系统读取 |
关键 |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30281 |
|
不当的授权（CWE-287） |
任意代码执行 |
关键 |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30282 |
|
不受信任的数据反序列化 (CWE-502) |
任意代码执行 |
关键 |
8.0 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30284 |
|
不受信任的数据反序列化 (CWE-502) |
任意代码执行 |
关键 |
8.0 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30285 |
|
操作系统命令中使用的特殊元素不当中和（“操作系统命令注入”）(CWE-78) |
任意代码执行 |
关键 |
8.0 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30286 |
|
不当的授权（CWE-287） |
任意代码执行 |
关键 |
8.1 |
CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30287 |
|
不当的访问控制（CWE-284） |
安全功能旁路 |
关键 |
7.8 |
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30288 |
|
操作系统命令中使用的特殊元素不当中和（“操作系统命令注入”）(CWE-78) |
任意代码执行 |
关键 |
7.5 |
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N |
CVE-2025-30289 |
|
对受限目录路径名称的限制不当（“路径遍历”）(CWE-22) |
安全功能旁路 |
关键 |
8.7 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H |
CVE-2025-30290 |
|
信息披露 (CWE-200) |
安全功能旁路 |
重要 |
6.2 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2025-30291 |
|
跨站点脚本（反射型 XSS）(CWE-79) |
任意代码执行 |
重要 |
6.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2025-30292 |
|
不当的输入验证 (CWE-20) |
安全功能旁路 |
重要 |
6.8 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N |
CVE-2025-30293 |
|
不当的输入验证 (CWE-20) |
安全功能旁路 |
重要 |
6.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2025-30294 |
鸣谢：
Adobe 衷心感谢以下研究人员报告此问题并与 Adobe 一起保护我们的客户：
- nbxiglk - CVE-2025-24446、CVE-2025-30281、CVE-2025-30282、CVE-2025-30284、CVE-2025-30285、CVE-2025-30286、CVE-2025-30289
- Brian Reilly (reillyb) - CVE-2025-24447、CVE-2025-30288、CVE-2025-30290、CVE-2025-30291、CVE-2025-30292、CVE-2025-30293、CVE-2025-30294
- cioier - CVE-2025-30287
注意：Adobe 通过 HackerOne 开展公开的有奖挖洞项目。如果您有兴趣作为外部安全研究人员与 Adobe 合作，请访问 https://hackerone.com/adobe
注意:
为安全起见，Adobe 建议将 ColdFusion JDK/JRE LTS 版本更新到最新版本。 ColdFusion 下载页面会定期更新，以包括您的安装所支持的 JDK 版本的最新 Java 安装程序，如下表所示。
有关如何使用外部 JDK 的说明，请查看更改 ColdFusion JVM。
Adobe 还建议您应用 ColdFusion 安全文档中所述的安全配置设置，并查看相应的锁定指南。
ColdFusion JDK 要求
COLDFUSION 2025（版本 2023.0.0.331385）及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志。
COLDFUSION 2023（版本 2023.0.0.330468）及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志。
COLDFUSION 2021（版本 2021.0.0.323925）及更高版本
对于应用程序服务器
在 JEE 安装中，根据所使用的应用程序服务器类型，在相应的启动文件中设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”
。
例如：
Apache Tomcat 应用程序服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.
有关更多信息，请访问 https://helpx.adobe.com/cn/security.html，或发送电子邮件至 PSIRT@adobe.com
