Bulletin-ID
Sist oppdatert
17. jul. 2025
Sikkerhetsoppdateringer tilgjengelig for Adobe ColdFusion | APSB25-69
|
|
Publiseringsdato |
Prioritet |
|
APSB25-69 |
8. juli 2025 |
1 |
Sammendrag
Adobe har lansert sikkerhetsoppdateringer for ColdFusion-versjonene 2025, 2023 og 2021. Disse oppdateringene løser kritiske, viktige og moderate sårbarheter som kan føre til vilkårlig lesing av filsystemet, kjøring av vilkårlig kode, eskalering av privilegier, omgåelse av sikkerhetsfunksjoner og tjenestenekt.
Adobe kjenner ikke til aktiv utnyttelse av noen av problemene som løses av disse oppdateringene.
Berørte versjoner
|
Produkt |
Oppdateringsnummer |
Plattform |
|
ColdFusion 2025 |
Oppdatering 2 og tidligere versjoner |
Alle |
|
ColdFusion 2023 |
Oppdatering 14 og tidligere versjoner |
Alle |
|
ColdFusion 2021 |
Oppdatering 20 og tidligere versjoner |
Alle |
Løsning
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifisering og anbefaler at brukerne oppdaterer installasjonene til de nyeste versjonene:
|
Produkt |
Oppdatert versjon |
Plattform |
Prioritet Klassifisering |
Tilgjengelighet |
|---|---|---|---|---|
|
ColdFusion 2025 |
Oppdatering 3 |
Alle |
1 |
|
|
ColdFusion 2023 |
Oppdatering 15 |
Alle |
1 |
|
|
ColdFusion 2021 |
Oppdatering 21 |
Alle |
1 |
Merk:
Av sikkerhetsgrunner anbefaler vi på det sterkeste at du bruker den nyeste mysql java-kontakten. Du finner mer informasjon om bruken av den under https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html
Se den oppdaterte dokumentasjonen for det serielle filteret for mer informasjon om beskyttelse mot usikre Wddx-deserialiseringsangrep https://helpx.adobe.com/no/coldfusion/kb/coldfusion-serialfilter-file.html
Informasjon om sikkerhetsproblemet
|
Sikkerhetsproblemkategori |
Sikkerhetsprobleminnvirkning |
Alvorlighetsgrad |
CVSS-grunnscore |
CVE-numre |
|
|
Feil begrensning av referanse til ekstern XML-enhet (XXE) (CWE-611) |
Arbitrært filsystem-lesing |
Kritisk |
9,3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L |
CVE-2025-49535 |
|
Bruk av hardkodet legitimasjon (CWE-798) |
Rettighetsutvidelse |
Kritisk |
8.8 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2025-49551 |
|
Feil autorisasjon (CWE-863) |
Omgåelse av sikkerhetsfunksjon |
Kritisk |
8.1 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
CVE-2025-49536 |
|
Feil nøytralisering av spesialelementer brukt i en OS-kommando ('OS-kommandoinjeksjon') (CWE-78) |
Arbitrært filsystem-lesing |
Kritisk |
8.1 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-49537 |
|
XML Injection (aka Blind XPath Injection) (CWE-91) |
Arbitrært filsystem-lesing |
Kritisk |
7.4 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H |
CVE-2025-49538 |
|
Feil begrensning av referanse til ekstern XML-enhet (XXE) (CWE-611) |
Omgåelse av sikkerhetsfunksjon |
Viktig |
6.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2025-49539 |
|
Skripting på tvers av nettsteder (lagret XSS) (CWE-79) |
Kjøring av vilkårlig kode |
Viktig |
4.8 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2025-49540 |
|
Skripting på tvers av nettsteder (lagret XSS) (CWE-79) |
Kjøring av vilkårlig kode |
Viktig |
4.8 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2025-49541 |
|
Skripting på tvers av nettsteder (lagret XSS) (CWE-79) |
Kjøring av vilkårlig kode |
Viktig |
6.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2025-49542 |
|
Skripting på tvers av nettsteder (lagret XSS) (CWE-79) |
Kjøring av vilkårlig kode |
Viktig |
4.8 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
CVE-2025-49543 |
|
Feil begrensning av referanse til ekstern XML-enhet (XXE) (CWE-611) |
Omgåelse av sikkerhetsfunksjon |
Viktig |
6.8 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N |
CVE-2025-49544 |
|
Forfalskning av forespørsel på serverside (SSRF) (CWE-918) |
Arbitrært filsystem-lesing |
Viktig |
6.8 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N |
CVE-2025-49545 |
|
Feil tilgangskontroll (CWE-284) |
Program, tjenestenekt |
Moderat |
2.7 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L |
CVE-2025-49546 |
Anerkjennelser:
Adobe takker følgende forskere for at de rapporterte dette problemet, og for at de samarbeider med Adobe for å hjelpe oss med å beskytte kundene våre:
- anonymous_blackzero - CVE-2025-49536, CVE-2025-49542, CVE-2025-49543, CVE-2025-49544
- nbxiglk - CVE-2025-49535, CVE-2025-49537, CVE-2025-49551
- Brian Reilly (reillyb) - CVE-2025-49539, CVE-2025-49545
- the_predator - CVE-2025-49540, CVE-2025-49541
- Ashish Dhone (ashketchum) - CVE-2025-49546
- Nhien Pham (nhienit2010) – CVE-2025-49538
MERK: Adobe har et offentlig bug-bounty-program med HackerOne. Hvis du er interessert i å jobbe med Adobe som en ekstern sikkerhetsforsker, kan du sjekke ut https://hackerone.com/adobe
Merk:
Adobe anbefaler at du oppdaterer ColdFusion JDK/JRE LTS-versjonen til den nyeste oppdateringsutgivelsen som et sikkerhetstiltak. Nedlastingssiden ColdFusion oppdateres jevnlig for å inkludere de nyeste Java-installasjonsprogrammene for den JDK-versjonen som støttes av installasjonen, i henhold til matrisene nedenfor.
Du finner instruksjoner om hvordan du bruker et eksternt JDK under Endre ColdFusion JVM.
Adobe anbefaler også kunden å anvende innstillingene for sikkerhetskonfigurasjon som beskrevet i ColdFusion sikkerhetsdokumentasjon og se respektive veiledninger om låsing.
Krav for ColdFusion JDK
COLDFUSION 2025 (versjon 2023.0.0.331385) og høyere
For applikasjonsservere
på JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
Eksempel:
Applikasjonsserveren Apache Tomcat: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
Applikasjonsserveren WildFly/EAP: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
COLDFUSION 2023 (versjon 2023.0.0.330468) og høyere
For applikasjonsservere
på JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
Eksempel:
Applikasjonsserveren Apache Tomcat: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
Applikasjonsserveren WildFly/EAP: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
COLDFUSION 2021 (Versjon 2021.0.0.323925) og nyere
For applikasjonsservere
På JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"
i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
For eksempel:
Apache Tomcat-applikasjonsserver: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
WildFly/EAP-applikasjonsserver: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
Hvis du vil ha mer informasjon, kan du se https://helpx.adobe.com/no/security.html eller sende en e-postmelding til PSIRT@adobe.com
