Adobe – sikkerhetsbulletin

Sikkerhetsoppdateringer tilgjengelig for Adobe ColdFusion | APSB25-52

Bulletin-ID

Publiseringsdato

Prioritet

APSB25-52

13. mai 2025

1

Sammendrag

Adobe har lansert sikkerhetsoppdateringer for ColdFusion-versjonene 2025, 2023 og 2021. Disse oppdateringene løser kritiske og viktige sikkerhetsproblemer som kan lede til vilkårlig lesing av filsystem, vilkårlig kodeutførelse og rettighetsutvidelse.

 Adobe kjenner ikke til aktiv utnyttelse av noen av problemene som løses av disse oppdateringene.

Berørte versjoner

Produkt

Oppdateringsnummer

Plattform

ColdFusion 2025

Oppdatering 1

Alle

ColdFusion 2023

Oppdatering 13 og tidligere versjoner
  

Alle

ColdFusion 2021

Oppdatering 19 og tidligere versjoner

Alle

Løsning

Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifisering og anbefaler at brukerne oppdaterer installasjonene til de nyeste versjonene:

Produkt

Oppdatert versjon

Plattform

Prioritet Klassifisering

Tilgjengelighet

ColdFusion 2025

Oppdatering 2

Alle

1

ColdFusion 2023

Oppdatering 14

Alle

1

ColdFusion 2021

Oppdatering 20

Alle

1

Merk:

Av sikkerhetsgrunner anbefaler vi på det sterkeste at du bruker den nyeste mysql java-kontakten. Du finner mer informasjon om bruken av den under   https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Se den oppdaterte dokumentasjonen for det serielle filteret for mer informasjon om beskyttelse mot usikre Wddx-deserialiseringsangrep https://helpx.adobe.com/no/coldfusion/kb/coldfusion-serialfilter-file.html

Informasjon om sikkerhetsproblemet

Sikkerhetsproblemkategori

Sikkerhetsprobleminnvirkning

Alvorlighetsgrad

CVSS-grunnscore 

CVE-numre

Feil inndatavalidering (CWE-20)

Vilkårlig lesing av filsystem

Kritisk

9.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

CVE-2025-43559

Feil inndatavalidering (CWE-20)

Kjøring av vilkårlig kode

Kritisk

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43560

Feil tilgangskontroll (CWE-284)

Vilkårlig lesing av filsystem

Kritisk

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43561

Feil nøytralisering av spesialelementer brukt i en OS-kommando ('OS-kommandoinjeksjon') (CWE-78)

Kjøring av vilkårlig kode

Kritisk

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43562

Feil tilgangskontroll (CWE-284)

Rettighetsutvidelse

Kritisk

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43563

Feil autorisasjon (CWE-863)

Kjøring av vilkårlig kode

Kritisk

9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

CVE-2025-43564

Feil tilgangskontroll (CWE-284)

Kjøring av vilkårlig kode

Kritisk

8.4

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H

CVE-2025-43565

Feil begrensning av banekrysning til en begrenset katalog (Path Traversal) (CWE-22)

Arbitrært filsystem-lesing

Viktig

6.8

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

CVE-2025-43566

Anerkjennelser:

Adobe takker følgende forskere for at de rapporterte dette problemet, og for at de samarbeider med Adobe for å hjelpe oss med å beskytte kundene våre:   

  • nbxiglk – CVE-2025-43561, CVE-2025-43563, CVE-2025-43564, CVE-2025-43566
  • Brian Reilly (reillyb) – CVE-2025-43559, CVE-2025-43560, CVE-2025-43562, CVE-2025-43565

MERK: Adobe har et offentlig bug-bounty-program med HackerOne. Hvis du er interessert i å jobbe med Adobe som en ekstern sikkerhetsforsker, kan du sjekke ut https://hackerone.com/adobe

Merk:

Adobe anbefaler at du oppdaterer ColdFusion JDK/JRE LTS-versjonen til den nyeste oppdateringsutgivelsen som et sikkerhetstiltak.Nedlastingssiden ColdFusion oppdateres jevnlig for å inkludere de nyeste Java-installasjonsprogrammene for den JDK-versjonen som støttes av installasjonen, i henhold til matrisene nedenfor. 

Du finner instruksjoner om hvordan du bruker et eksternt JDK under Endre ColdFusion JVM

Adobe anbefaler også kunden å anvende innstillingene for sikkerhetskonfigurasjon som beskrevet i ColdFusion sikkerhetsdokumentasjon og se respektive veiledninger om låsing.    

Krav for ColdFusion JDK

COLDFUSION 2025 (versjon 2023.0.0.331385) og høyere
For applikasjonsservere

på JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " i respektive oppstartsfil  avhengig av typen applikasjonsserver som brukes.

Eksempel:
Applikasjonsserveren Apache Tomcat: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
Applikasjonsserveren WildFly/EAP: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.

 

COLDFUSION 2023 (versjon 2023.0.0.330468) og høyere
For applikasjonsservere

på JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " i respektive oppstartsfil  avhengig av typen applikasjonsserver som brukes.

Eksempel:
Applikasjonsserveren Apache Tomcat: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
Applikasjonsserveren WildFly/EAP: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.

 

COLDFUSION 2021 (Versjon 2021.0.0.323925) og nyere

For applikasjonsservere   

På JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

i respektive oppstartsfil  avhengig av typen applikasjonsserver som brukes.

For eksempel:   

Apache Tomcat-applikasjonsserver: Rediger JAVA_OPTS i filen Catalina.bat/sh   

WebLogic-applikasjonsserver:  Rediger JAVA_OPTIONS i filen startWeblogic.cmd   

WildFly/EAP-applikasjonsserver:  Rediger JAVA_OPTS i filen standalone.conf   

Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.   


Hvis du vil ha mer informasjon, kan du se https://helpx.adobe.com/no/security.html eller sende en e-postmelding til PSIRT@adobe.com 

Få hjelp raskere og enklere

Ny bruker?