Adobe-Sicherheitsbulletin

Suchen

Zuletzt aktualisiert am 24. April 2025

Sicherheitsupdates für Adobe ColdFusion verfügbar | APSB25-15

Bulletin-ID	Veröffentlichungsdatum	Priorität
APSB25-15	Mittwoch, 8. April 2025	1

Zusammenfassung

Adobe hat Sicherheitsupdates für ColdFusion-Versionen 2025, 2023 und 2021 veröffentlicht. Diese Updates beheben kritische und wichtige Sicherheitslücken, die zu willkürlichem Dateisystem-Lesezugriff, willkürlicher Codeausführung und Umgehung der Sicherheitsfunktionen führen könnten.

Adobe sind keine Fälle bekannt, in denen die in diesen Updates behobenen Sicherheitslücken ausgenutzt wurden.

Betroffene Versionen

Produkt	Updatenummer	Plattform
ColdFusion 2025	Build 331385	Alle
ColdFusion 2023	Update 12 und frühere Versionen	Alle
ColdFusion 2021	Update 18 und ältere Versionen	Alle

Lösung

Adobe stuft die Priorität dieser Updates wie nachstehend ein und empfiehlt die Installation allen Anwendern:

Produkt	Aktualisierte Version	Plattform	Priorität	Verfügbarkeit
ColdFusion 2025	Update 1	Alle	1	Technischer Hinweis
ColdFusion 2023	Update 13	Alle	1	Technischer Hinweis
ColdFusion 2021	Update 19	Alle	1	Technischer Hinweis

Hinweis:

Weitere Details zum Schutz vor Deserialisierungsangriffen auf unsicheres WDDX finden Sie in der aktualisierten Dokumentation zum Serialisierungsfilter https://helpx.adobe.com/de/coldfusion/kb/coldfusion-serialfilter-file.html

Sicherheitslückendetails

Sicherheitslückenkategorie	Sicherheitslückenauswirkung	Problemstufe	CVSS-Basispunktzahl	CVSS-Vektor	CVE-Nummern
Unangemessene Eingabevalidierung (CWE-20)	Willkürlicher Dateisystem-Lesezugriff	Kritisch	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-24446
Deserialisierung nicht vertrauenswürdiger Daten (CWE-502)	Willkürliche Codeausführung	Kritisch	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-24447
Unzulässige Zugriffskontrolle (CWE-284)	Willkürlicher Dateisystem-Lesezugriff	Kritisch	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30281
Unzulässige Authentifizierung (CWE-287)	Willkürliche Codeausführung	Kritisch	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30282
Deserialisierung nicht vertrauenswürdiger Daten (CWE-502)	Willkürliche Codeausführung	Kritisch	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30284
Deserialisierung nicht vertrauenswürdiger Daten (CWE-502)	Willkürliche Codeausführung	Kritisch	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30285
Unsachgemäße Neutralisierung von speziellen Elementen, die in einem OS-Befehl verwendet werden ("OS Command Injection") (CWE-78)	Willkürliche Codeausführung	Kritisch	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30286
Unzulässige Authentifizierung (CWE-287)	Willkürliche Codeausführung	Kritisch	8.1	CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30287
Unzulässige Zugriffskontrolle (CWE-284)	Umgehung der Sicherheitsfunktionen	Kritisch	7.8	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30288
Unsachgemäße Neutralisierung von speziellen Elementen, die in einem OS-Befehl verwendet werden ("OS Command Injection") (CWE-78)	Willkürliche Codeausführung	Kritisch	7.5	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N	CVE-2025-30289
Unzulässige Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis („Pfadübergang“) (CWE-22)	Umgehung der Sicherheitsfunktionen	Kritisch	8.7	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H	CVE-2025-30290
Informationsexposition (CWE-200)	Umgehung der Sicherheitsfunktionen	Wichtig	6.2	CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30291
Cross-Site-Scripting (Reflektiertes XSS) (CWE-79)	Willkürliche Codeausführung	Wichtig	6.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	CVE-2025-30292
Unangemessene Eingabevalidierung (CWE-20)	Umgehung der Sicherheitsfunktionen	Wichtig	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	CVE-2025-30293
Unangemessene Eingabevalidierung (CWE-20)	Umgehung der Sicherheitsfunktionen	Wichtig	6.5	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30294

Danksagung:

Adobe bedankt sich bei den folgenden Forschern für das Melden dieser Schwachstellen und für die Zusammenarbeit mit Adobe zum Schutz der Sicherheit unserer Kunden.   

nbxiglk – CVE-2025-24446, CVE-2025-30281, CVE-2025-30282, CVE-2025-30284, CVE-2025-30285, CVE-2025-30286, CVE-2025-30289
Brian Reilly (reillyb) - CVE-2025-24447, CVE-2025-30288, CVE-2025-30290, CVE-2025-30291, CVE-2025-30292, CVE-2025-30293, CVE-2025-30294
cioier – CVE-2025-30287

HINWEIS: Adobe hat ein öffentliches Bug-Bounty-Programm mit HackerOne. Wenn Sie an einer Zusammenarbeit mit Adobe als externer Sicherheitsforscher interessiert sind, informieren Sie sich bitte hier: https://hackerone.com/adobe

Hinweis:

Adobe empfiehlt, als Sicherheitsmaßnahmen Ihre ColdFusion JDK/JRE LTS-Version auf die neueste Update-Version zu aktualisieren. Die Download-Seite für ColdFusion wird regelmäßig aktualisiert, um die neuesten Java-Installationsprogramme für die von Ihrer Installation unterstützten JDK-Versionen gemäß den nachstehenden Matrizen einzubeziehen.

Anweisungen zur Verwendung eines externen JDK finden Sie unter ColdFusion JVM ändern.

Adobe empfiehlt zudem, die Sicherheitskonfigurationseinstellungen zu verwenden, die in der ColdFusion-Dokumentation enthalten sind, und die Informationen in den jeweiligen Lockdown Guides beachten.   

ColdFusion JDK-Anforderung

COLDFUSION 2025 (Version 2023.0.0.331385) und höher
Für Anwendungsserver

In JEE-Installationen setzen Sie das Flag “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " in der Startdatei des verwendeten Anwendungsservers.

Beispiel:
Apache Tomcat Anwendungsserver: Editieren Sie JAVA_OPTS in der Datei „Catalina.bat/sh“
WebLogic Anwendungsserver: Editieren Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“
WildFly/EAP Anwendungsserver: Editieren Sie JAVA_OPTS in der Datei „standalone.conf“
Setzen Sie die JVM-Flags bei einer JEE-Installation von ColdFusion, nicht bei einer Standalone-Installation.

ColdFusion 2023 (Version 2023.0.0.330468) und höher
Für Anwendungsserver

In JEE-Installationen setzen Sie das Flag "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" in der Startdatei des verwendeten Anwendungsservers.

COLDFUSION 2021 (Version 2021.0.0.323925) und höher

Für Anwendungsserver  

Setzen Sie in JEE-Installationen das JVM-Flag “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

in der Startdatei des verwendeten Anwendungsservers.

Beispiel:  

Apache Tomcat Anwendungsserver: Bearbeiten Sie JAVA_OPTS in der Datei „Catalina.bat/sh“  

WebLogic Anwendungsserver:  Bearbeiten Sie JAVA_OPTIONS in der Datei „startWeblogic.cmd“  

WildFly/EAP Anwendungsserver:  Bearbeiten Sie die JAVA_OPTS in der Datei „standalone.conf“  

Setzen Sie die JVM-Flags in einer JEE-Installation von ColdFusion, nicht in einer eigenständigen Installation.  

Weitere Informationen erhalten Sie unter https://helpx.adobe.com/de/security.html oder per E-Mail an PSIRT@adobe.com

Schneller und einfacher Hilfe erhalten

Neuer Benutzer?