Adobe 安全公告

Adobe ColdFusion 的安全更新 | APSB25-52

公告 ID

发布日期

优先级

APSB25-52

2025 年 5 月 13 日

1

摘要

Adobe发布了 ColdFusion 2025、2023 和 2021 版的安全更新。这些更新解决了多个可能导致任意文件系统读取、任意代码执行和权限升级的关键重要漏洞。

 Adobe 尚未收到任何有关这些更新中所述漏洞被人利用的信息。

受影响的版本

产品

更新编号

平台

ColdFusion 2025

更新 1

全部

ColdFusion 2023

更新 13 及早期版本
  

全部

ColdFusion 2021

更新 19 及早期版本

全部

解决方案

Adobe 按照以下优先级将这些更新分类,并建议用户将其安装的软件更新至最新版本:

产品

更新后的版本

平台

优先级

获取途径

ColdFusion 2025

更新 2

全部

1

ColdFusion 2023

更新 14

全部

1

ColdFusion 2021

更新 20

全部

1

注意:

出于安全原因,我们强烈建议使用最新的 mysql java 连接器。 有关其用法的更多信息,请参考 https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

有关防御不安全 Wddx 反序列化攻击的更多详细信息,请参阅更新的串行筛选器文档:https://helpx.adobe.com/cn/coldfusion/kb/coldfusion-serialfilter-file.html

漏洞详情

漏洞类别

漏洞影响

严重性

CVSS 基础评分 

CVE 编号

不当的输入验证 (CWE-20)

任意文件系统读取

关键

9.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

CVE-2025-43559

不当的输入验证 (CWE-20)

任意代码执行

关键

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43560

不当的访问控制(CWE-284

任意文件系统读取

关键

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43561

操作系统命令中使用的特殊元素不当中和(“操作系统命令注入”)(CWE-78)

任意代码执行

关键

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43562

不当的访问控制(CWE-284

权限升级

关键

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43563

不正确的授权 (CWE-863)

任意代码执行

关键

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43564

不当的访问控制(CWE-284

任意代码执行

关键

8.4

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H

CVE-2025-43565

对受限目录路径名称的限制不当(“路径遍历”)(CWE-22)

任意文件系统读取

重要

6.8

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

CVE-2025-43566

鸣谢:

Adobe 衷心感谢以下研究人员报告此问题并与 Adobe 一起保护我们的客户:   

  • nbxiglk - CVE-2025-43561、CVE-2025-43563、CVE-2025-43564、CVE-2025-43566
  • Brian Reilly (reillyb) - CVE-2025-43559、CVE-2025-43560、CVE-2025-43562、CVE-2025-43565

注意:Adobe 通过 HackerOne 开展公开的有奖挖洞项目。 如果您有兴趣作为外部安全研究人员与 Adobe 合作,请访问 https://hackerone.com/adobe

注意:

为安全起见,Adobe 建议将 ColdFusion JDK/JRE LTS 版本更新到最新版本。ColdFusion 下载页面会定期更新,以包括您的安装所支持的 JDK 版本的最新 Java 安装程序,如下表所示。 

有关如何使用外部 JDK 的说明,请查看更改 ColdFusion JVM。 

Adobe 还建议您应用 ColdFusion 安全文档中所述的安全配置设置,并查看相应的锁定指南。    

ColdFusion JDK 要求

COLDFUSION 2025(2023.0.0.331385 版本)及更高版本
对于应用程序服务器

在 JEE 安装中,根据所使用的应用程序服务器类型,在相应的启动文件中设置以下 JVM 标志“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”。

例如:
Apache Tomcat 应用程序服务器:在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器:在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器:在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志。

 

COLDFUSION 2023(2023.0.0.330468 版本)及更高版本
对于应用程序服务器

在 JEE 安装中,根据所使用的应用程序服务器类型,在相应的启动文件中设置以下 JVM 标志:“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”。

例如:
Apache Tomcat 应用程序服务器:在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用程序服务器:在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用程序服务器:在“standalone.conf”文件中编辑 JAVA_OPTS
在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志。

 

COLDFUSION 2021(版本 2021.0.0.323925)及更高版本

对于应用程序服务器   

在安装 JEE 时,请设置以下 JVM 标志:“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

例如:   

Apache Tomcat 应用程序服务器:在“Catalina.bat/sh”文件中编辑 JAVA_OPTS   

WebLogic 应用程序服务器:在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS   

WildFly/EAP 应用程序服务器:在“standalone.conf”文件中编辑 JAVA_OPTS   

在 ColdFusion 的 JEE 安装而不是独立安装中设置 JVM 标志.   


有关更多信息,请访问 https://helpx.adobe.com/cn/security.html,或发送电子邮件至 PSIRT@adobe.com

更快、更轻松地获得帮助

新用户?