Bollettino sulla sicurezza di Adobe

Cerca

Ultimo aggiornamento il 17 lug 2025

Aggiornamenti di sicurezza disponibili per Adobe ColdFusion | APSB25-69

ID bollettino	Data di pubblicazione	Priorità
APSB25-69	8 luglio 2025	1

Riepilogo

Adobe ha rilasciato aggiornamenti di sicurezza per le versioni di ColdFusion 2025, 2023 e 2021. Questi aggiornamenti risolvono vulnerabilità critiche , importanti e moderate che potrebbero portare a una lettura di file system arbitraria, a un’esecuzione di codice arbitrario, a un’escalation di privilegi, a un’esclusione delle funzioni di sicurezza e al denial-of-service dell’applicazione.

 Adobe non è a conoscenza di exploit delle vulnerabilità oggetto di questi aggiornamenti.

Versioni interessate

Prodotto	Numero aggiornamento	Piattaforma
ColdFusion 2025	Aggiornamento 2 e versioni precedenti	Tutte
ColdFusion 2023	Aggiornamento 14 e versioni precedenti	Tutte
ColdFusion 2021	Aggiornamento 20 e versioni precedenti	Tutte

Soluzione

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

Prodotto	Versione aggiornata	Piattaforma	Livello di priorità	Disponibilità
ColdFusion 2025	Aggiornamento 3	Tutte	1	Nota tecnica
ColdFusion 2023	Aggiornamento 15	Tutte	1	Nota tecnica
ColdFusion 2021	Aggiornamento 21	Tutte	1	Nota tecnica

Nota:

Per motivi di sicurezza, si consiglia vivamente di utilizzare il connettore mysql java più recente. Per ulteriori informazioni sul suo utilizzo, consulta https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Per ulteriori dettagli sulla protezione contro gli attacchi di deserializzazione Wddx non sicuri, consulta la documentazione aggiornata sui filtri di serie https://helpx.adobe.com/it/coldfusion/kb/coldfusion-serialfilter-file.html

Dettagli della vulnerabilità

Categoria della vulnerabilità	Impatto della vulnerabilità	Gravità	Punteggio base CVSS	Vettore CVSS	Codici CVE
Restrizione illecita del riferimento alle entità XML esterne (‘XXE’) (CWE-611)	Lettura di file system arbitraria	Critico	9.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L	CVE-2025-49535
Utilizzo di credenziali hard-coded (CWE-798)	Acquisizione illecita di privilegi	Critica	8.8	CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE-2025-49551
Autorizzazione errata (CWE-863)	Aggiramento della funzione di sicurezza	Critico	8.1	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N	CVE-2025-49536
Neutralizzazione impropria di elementi speciali utilizzati in un comando OS (“OS Command Injection”) (CWE-78)	Lettura di file system arbitraria	Critica	8.1	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-49537
XML Injection (detta anche Blind XPath Injection) (CWE-91)	Lettura di file system arbitraria	Critica	7.4	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H	CVE-2025-49538
Restrizione illecita del riferimento alle entità XML esterne (‘XXE’) (CWE-611)	Aggiramento della funzione di sicurezza	Importante	6.5	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N	CVE-2025-49539
Vulnerabilità cross-site scripting (memorizzate XSS) (CWE-79)	Esecuzione di codice arbitrario	Importante	4.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N	CVE-2025-49540
Vulnerabilità cross-site scripting (memorizzate XSS) (CWE-79)	Esecuzione di codice arbitrario	Importante	4.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N	CVE-2025-49541
Vulnerabilità cross-site scripting (memorizzate XSS) (CWE-79)	Esecuzione di codice arbitrario	Importante	6.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	CVE-2025-49542
Vulnerabilità cross-site scripting (memorizzate XSS) (CWE-79)	Esecuzione di codice arbitrario	Importante	4.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N	CVE-2025-49543
Restrizione illecita del riferimento alle entità XML esterne (‘XXE’) (CWE-611)	Aggiramento della funzione di sicurezza	Importante	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N	CVE-2025-49544
Server-Side Request Forgery (SSRF) (CWE-918)	Lettura di file system arbitraria	Importante	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N	CVE-2025-49545
Controllo di accesso non corretto (CWE-284)	Rifiuto di utilizzo dell'applicazione	Moderata	2.7	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L	CVE-2025-49546

Ringraziamenti:

Adobe desidera ringraziare i ricercatori seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:   

anonymous_blackzero -- CVE-2025-49536, CVE-2025-49542, CVE-2025-49543, CVE-2025-49544
nbxiglk - CVE-2025-49535, CVE-2025-49537, CVE-2025-49551
Brian Reilly (reillyb) - CVE-2025-49539, CVE-2025-49545
the_predator - CVE-2025-49540, CVE-2025-49541
Ashish Dhone (ashketchum) - CVE-2025-49546
Nhien Pham (nhienit2010) - CVE-2025-49538

NOTA: Adobe dispone di un programma di bug bounty con HackerOne. Se ti interessa lavorare con Adobe come ricercatore esterno sulla sicurezza, visita: https://hackerone.com/adobe

Nota:

Adobe consiglia di aggiornare ColdFusion JDK/JRE LTS alla versione di aggiornamento più recente per maggiore sicurezza. La pagina dei download di ColdFusion viene regolarmente aggiornata per includere i più recenti programmi di installazione Java per la versione JDK supportata dall’installazione, come da matrici riportate sotto.

Per istruzioni su come utilizzare un JDK esterno, consultare Modificare JVM di ColdFusion.

Adobe consiglia inoltre di applicare le impostazioni di configurazione della protezione descritte nella pagina sulla sicurezza di ColdFusion, nonché di consultare la relativa Guida alla protezione.   

Requisiti JDK di ColdFusion

COLDFUSION 2025 (versione 2023.0.0.331385) e superiori
Per il server applicazioni

Sulle installazioni di JEE, imposta il seguente flag JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " nel rispettivo file di avvio a seconda del tipo di Application Server usato.

Ad esempio:
Server applicazioni Apache Tomcat: modifica JAVA_OPTS nel file ‘Catalina.bat/sh’
Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file ‘startWeblogic.cmd’
Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file ‘standalone.conf’
Imposta i flag JVM su un’installazione JEE di ColdFusion, non un’installazione standalone.

COLDFUSION 2023 (versione 2023.0.0.330468.331385) e superiori
Per il server applicazioni

Sulle installazioni di JEE, imposta il seguente flag JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " nel rispettivo file di avvio a seconda del tipo di Application Server usato.

COLDFUSION 2021 (versione 2021.0.0.323925) e versioni successive

Per i server di applicazioni  

Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

nel relativo file di avvio in base al tipo di server applicazioni in uso.

Ad esempio:  

Server applicazioni Apache Tomcat, modifica JAVA_OPTS nel file 'Catalina.bat/sh'  

Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'  

Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'  

Imposta i flag JVM su una installazione JEE di ColdFusion, non una installazione standalone.  

Per ulteriori informazioni visita https://helpx.adobe.com/it/security.html o invia un’e-mail a PSIRT@adobe.com

Ottieni supporto in modo più facile e veloce

Nuovo utente?