Bollettino sulla sicurezza di Adobe

Cerca

Ultimo aggiornamento il 24 apr 2025

Aggiornamenti di sicurezza disponibili per Adobe ColdFusion | APSB25-15

ID bollettino	Data di pubblicazione	Priorità
APSB25-15	mercoledì 8 aprile 2025	1

Riepilogo

Adobe ha rilasciato alcuni aggiornamenti di sicurezza per ColdFusion versioni 2025, 2023 e 2021. Questi aggiornamenti risolvono vulnerabilità critiche e importanti che potrebbero portare alla lettura di file system arbitrario, all’esecuzione di codice arbitrario e all’aggiramento delle funzioni di sicurezza.

Adobe non è a conoscenza di sfruttamenti delle vulnerabilità oggetto di questi aggiornamenti.

Versioni interessate

Prodotto	Numero aggiornamento	Piattaforma
ColdFusion 2025	Build 331385	Tutte
ColdFusion 2023	Aggiornamento 12 e versioni precedenti	Tutte
ColdFusion 2021	Aggiornamento 18 e versioni precedenti	Tutte

Soluzione

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

Prodotto	Versione aggiornata	Piattaforma	Livello di priorità	Disponibilità
ColdFusion 2025	Aggiornamento 1	Tutte	1	Nota tecnica
ColdFusion 2023	Aggiornamento 13	Tutte	1	Nota tecnica
ColdFusion 2021	Aggiornamento 19	Tutte	1	Nota tecnica

Nota:

Per ulteriori dettagli sulla protezione contro gli attacchi di deserializzazione Wddx non sicuri, consulta la documentazione aggiornata sui filtri di serie https://helpx.adobe.com/it/coldfusion/kb/coldfusion-serialfilter-file.html

Dettagli della vulnerabilità

Categoria della vulnerabilità	Impatto della vulnerabilità	Gravità	Punteggio base CVSS	Vettore CVSS	Codici CVE
Convalida dell’input non corretta (CWE-20)	Lettura di file system arbitraria	Critica	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-24446
Deserializzazione di dati non affidabili (CWE-502)	Esecuzione di codice arbitrario	Critica	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-24447
Controllo di accesso non corretto (CWE-284)	Lettura di file system arbitraria	Critica	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30281
Autenticazione non corretta (CWE-287)	Esecuzione di codice arbitrario	Critica	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30282
Deserializzazione di dati non affidabili (CWE-502)	Esecuzione di codice arbitrario	Critica	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30284
Deserializzazione di dati non affidabili (CWE-502)	Esecuzione di codice arbitrario	Critica	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30285
Neutralizzazione impropria di elementi speciali utilizzati in un comando OS (“OS Command Injection”) (CWE-78)	Esecuzione di codice arbitrario	Critica	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30286
Autenticazione non corretta (CWE-287)	Esecuzione di codice arbitrario	Critica	8.1	CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30287
Controllo di accesso non corretto (CWE-284)	Aggiramento della funzione di sicurezza	Critica	7.8	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30288
Neutralizzazione impropria di elementi speciali utilizzati in un comando OS (“OS Command Injection”) (CWE-78)	Esecuzione di codice arbitrario	Critico	7.5	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N	CVE-2025-30289
Limitazione non corretta di un percorso a una directory con restrizioni ("Path Traversal") (CWE-22)	Aggiramento della funzione di sicurezza	Critico	8.7	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H	CVE-2025-30290
Esposizione delle informazioni (CWE-200)	Aggiramento della funzione di sicurezza	Importante	6.2	CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30291
Vulnerabilità cross-site scripting (riflesso XSS) (CWE-79)	Esecuzione di codice arbitrario	Importante	6.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	CVE-2025-30292
Convalida dell’input non corretta (CWE-20)	Aggiramento della funzione di sicurezza	Importante	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	CVE-2025-30293
Convalida dell’input non corretta (CWE-20)	Aggiramento della funzione di sicurezza	Importante	6.5	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30294

Ringraziamenti:

Adobe desidera ringraziare i ricercatori seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:   

nbxiglk - CVE-2025-24446, CVE-2025-30281, CVE-2025-30282, CVE-2025-30284, CVE-2025-30285, CVE-2025-30286, CVE-2025-30289
Brian Reilly (reillyb) - CVE-2025-24447, CVE-2025-30288, CVE-2025-30290, CVE-2025-30291, CVE-2025-30292, CVE-2025-30293, CVE-2025-30294
cioier - CVE-2025-30287

NOTA: Adobe dispone di un programma di bug bounty con HackerOne. Se ti interessa lavorare con Adobe come ricercatore esterno sulla sicurezza, visita: https://hackerone.com/adobe

Nota:

Adobe consiglia di aggiornare ColdFusion JDK/JRE LTS alla versione di aggiornamento più recente per maggiore sicurezza. La pagina dei download di ColdFusion viene regolarmente aggiornata per includere i più recenti programmi di installazione Java per la versione JDK supportata dall’installazione, come da matrici riportate sotto.

Per istruzioni su come utilizzare un JDK esterno, consultare Modificare JVM di ColdFusion.

Adobe consiglia inoltre di applicare le impostazioni di configurazione della protezione descritte nella pagina sulla sicurezza di ColdFusion, nonché di consultare la relativa Guida alla protezione.   

Requisiti JDK di ColdFusion

COLDFUSION 2025 (versione 2023.0.0.331385) e versioni successive
Per i server applicazioni

sulle installazioni JEE, inserisci il seguente flag JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " nel relativo file di avvio in base al tipo di server applicazioni in uso.

Ad esempio:
Server applicazioni Apache Tomcat: modifica JAVA_OPTS nel file ‘Catalina.bat/sh’
Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file ‘startWeblogic.cmd’
Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file ‘standalone.conf’
Imposta i flag JVM su un’installazione JEE di ColdFusion, non un’installazione standalone.

COLDFUSION 2023 (versione 2023.0.0.330468) e versioni successive
Per i server applicazioni

Sulle installazioni JEE, inserisci il seguente flag JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" nel relativo file di avvio in base al tipo server applicazioni in uso.

COLDFUSION 2021 (versione 2021.0.0.323925) e versioni successive

Per i server di applicazioni  

Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

nel relativo file di avvio in base al tipo di server applicazioni in uso.

Ad esempio:  

Server applicazioni Apache Tomcat, modifica JAVA_OPTS nel file 'Catalina.bat/sh'

Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'

Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'

Imposta i flag JVM su una installazione JEE di ColdFusion, non una installazione standalone.  

Per ulteriori informazioni visita https://helpx.adobe.com/it/security.html o invia un’e-mail a PSIRT@adobe.com

Ottieni supporto in modo più facile e veloce

Nuovo utente?