게시판 ID
마지막 업데이트 날짜
2025년 1월 9일
Adobe ColdFusion에 사용할 수 있는 보안 업데이트 | APSB24-107
|
|
게시 날짜 |
우선 순위 |
|
APSB24-107 |
2024년 12월 23일 화요일 |
1 |
요약
Adobe에서 ColdFusion 버전 2023 및 2021용 보안 업데이트를 발표했습니다. 이 업데이트는 임의 파일 시스템 읽기를 실행할 수도 있는 치명적 취약점을 해결합니다.
Adobe는 CVE-2024-53961에 임의 파일 시스템 읽기를 초래할 수 있는 알려진 개념 증명이 있음을 알고 있습니다.
해당하는 버전
|
제품 |
업데이트 번호 |
플랫폼 |
|
ColdFusion 2023 |
업데이트 11 및 이전 버전 |
모두 |
|
ColdFusion 2021 |
업데이트 17 및 이전 버전 |
모두 |
해결 방법
Adobe는 이 업데이트를 다음과 같은 우선 순위 등급으로 분류하고 사용자가 최신 버전으로 업데이트할 것을 권장합니다.
참고:
안전하지 않은 Wddx 역직렬화 공격으로부터 보호하는 방법에 대한 자세한 내용은 업데이트된 직렬 필터 설명서(https://helpx.adobe.com/kr/coldfusion/kb/coldfusion-serialfilter-file.html)를 참조하십시오.
취약성 세부 정보
감사의 말:
Adobe는 이 문제를 보고하고 Adobe와 협력하여 고객 보호에 도움을 주신 다음 연구원 여러분께 감사의 말씀을 전합니다.
- ma4ter - CVE-2024-53961
참고: Adobe는 HackerOne과 함께 공개 버그 바운티 프로그램을 운영하고 있습니다. 외부 보안 연구원으로 Adobe와 협력하는 데 관심이 있으시면 https://hackerone.com/adobe에서 확인하십시오.
참고:
보안을 위해 ColdFusion JDK/JRE LTS 버전을 최신 업데이트 릴리스로 업데이트하는 것이 좋습니다. ColdFusion 다운로드 페이지는 아래 정보에 따라 설치에서 지원하는 JDK 버전에 대한 최신 Java 설치 프로그램을 포함하도록 정기적으로 업데이트됩니다.
외부 JDK를 사용하는 방법에 대한 지침은 ColdFusion JVM 변경을 참조하십시오.
또한 ColdFusion 보안 설명서에 포함된 내용에 따라 보안 구성 설정을 적용하고, 해당 Lockdown 안내서를 검토하는 것이 좋습니다.
ColdFusion JDK 요구 사항
ColdFusion 2023(버전 2023.0.0.330468) 이상
애플리케이션 서버
JEE 설치 시 사용 중인 애플리케이션 서버의 유형에 따라 해당 시작 파일에서 JVM 플래그 "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" 를 설정합니다.
예:
Apache Tomcat 애플리케이션 서버: 'Catalina.bat/sh' 파일에서 JAVA_OPTS를 편집합니다
WebLogic 애플리케이션 서버: 'startWeblogic.cmd' 파일에서 JAVA_OPTIONS를 편집합니다
WildFly/EAP 애플리케이션 서버: 'standalone.conf' 파일에서 JAVA_OPTS를 편집합니다
독립형 설치가 아닌 ColdFusion의 JEE 설치 시 JVM 플래그를 설정합니다
COLDFUSION 2021(버전 2021.0.0.323925) 이상
애플리케이션 서버
JEE 설치 시, 사용 중인 애플리케이션 서버의 유형에 따라 해당 시작 파일에서 JVM 플래그 “ Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**"
를 설정합니다.
예:
Apache Tomcat 애플리케이션 서버: 'Catalina.bat/sh' 파일의 JAVA_OPTS를 편집합니다.
WebLogic 애플리케이션 서버: 'startWeblogic.cmd' 파일의 JAVA_OPTIONS를 편집합니다.
WildFly/EAP 애플리케이션 서버: 'standalone.conf' 파일의 JAVA_OPTS를 편집합니다.
독립형 설치가 아닌 ColdFusion의 JEE 설치 시 JVM 플래그를 설정합니다.
자세한 내용은 https://helpx.adobe.com/kr/security.html을 방문하거나 PSIRT@adobe.com으로 이메일을 보내십시오
