Boletim de segurança da Adobe

Pesquisar

Última atualização em 24/04/2025

Atualizações de segurança disponíveis para o Adobe ColdFusion | APSB25-15

ID do boletim	Data de publicação	Prioridade
APSB25-15	8 de abril de 2025	1

Resumo

A Adobe lançou atualizações de segurança para as versões 2025, 2023 e 2021 do ColdFusion. Essas atualizações resolvem vulnerabilidades críticas e importantes que poderiam levar à leitura arbitrária do sistema de arquivos, à execução de código arbitrário e à falha de recursos de segurança.

A Adobe não tem conhecimento de nenhuma exploração na Web de nenhum dos problemas abordados nestas atualizações.

Versões afetadas

Produto	Número da atualização	Plataforma
ColdFusion 2025	Compilação 331385	Todas
ColdFusion 2023	Atualização 12 e versões anteriores	Todas
ColdFusion 2021	Atualização 18 e versões anteriores	Todas

Solução

A Adobe classifica essas atualizações com a seguinte avaliação de prioridade e recomenda que os usuários atualizem suas instalações para as versões mais recentes:

Produto	Versão atualizada	Plataforma	Classificação de prioridade	Disponibilidade
ColdFusion 2025	Atualização 1	Todas	1	Nota técnica
ColdFusion 2023	Atualização 13	Todas	1	Nota técnica
ColdFusion 2021	Atualização 19	Todas	1	Nota técnica

Observação:

Consulte a documentação atualizada do filtro serial para obter mais detalhes sobre a proteção contra ataques de desserialização insegura do Wddx https://helpx.adobe.com/br/coldfusion/kb/coldfusion-serialfilter-file.html

Detalhes da vulnerabilidade

Categoria da vulnerabilidade	Impacto da vulnerabilidade	Severidade	Pontuação base de CVSS	Vetor CVSS	Números CVE
Validação de entrada inadequada (CWE-20)	Leitura arbitrária do sistema de arquivos	Crítico	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-24446
Cancelamento de serialização de dados não confiáveis (CWE-502)	Execução de código arbitrário	Crítico	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-24447
Controle de acesso impróprio (CWE-284)	Leitura arbitrária do sistema de arquivos	Crítico	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30281
Autorização inadequada (CWE-287)	Execução de código arbitrário	Crítico	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30282
Cancelamento de serialização de dados não confiáveis (CWE-502)	Execução de código arbitrário	Crítico	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30284
Cancelamento de serialização de dados não confiáveis (CWE-502)	Execução de código arbitrário	Crítico	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30285
Neutralização inadequada de elementos especiais usados em um comando de SO (“injeção de comando de SO”) (CWE-78)	Execução de código arbitrário	Crítico	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30286
Autorização inadequada (CWE-287)	Execução de código arbitrário	Crítico	8.1	CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30287
Controle de acesso impróprio (CWE-284)	Falha de recurso de segurança	Crítico	7.8	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30288
Neutralização inadequada de elementos especiais usados em um comando de SO (“injeção de comando de SO”) (CWE-78)	Execução de código arbitrário	Crítico	7.5	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N	CVE-2025-30289
Limitação incorreta de um nome de caminho para um diretório restrito ("Caminho transversal") (CWE-22)	Falha de recurso de segurança	Crítico	8.7	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H	CVE-2025-30290
Exposição de Informações (CWE-200)	Falha de recurso de segurança	Importante	6.2	CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30291
Criação de script entre sites (XSS Refletido) (CWE-79)	Execução de código arbitrário	Importante	6.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	CVE-2025-30292
Validação de entrada inadequada (CWE-20)	Falha de recurso de segurança	Importante	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	CVE-2025-30293
Validação de entrada inadequada (CWE-20)	Falha de recurso de segurança	Importante	6.5	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30294

Agradecimentos:

A Adobe gostaria de agradecer aos seguintes pesquisadores por terem relatado esse problema e trabalhado com a Adobe para ajudar a proteger nossos clientes:   

nbxiglk – CVE-2025-24446, CVE-2025-30281, CVE-2025-30282, CVE-2025-30284, CVE-2025-30285, CVE-2025-30286, CVE-2025-30289
Brian Reilly (reillyb) – CVE-2025-24447, CVE-2025-30288, CVE-2025-30290, CVE-2025-30291, CVE-2025-30292, CVE-2025-30293, CVE-2025-30294
cioier – CVE-2025-30287

OBSERVAÇÃO: a Adobe tem um programa público de recompensa por erros com o HackerOne. Se você estiver interessado em trabalhar com a Adobe como pesquisador de segurança externo, consulte-nos aqui: https://hackerone.com/adobe

Observação:

A Adobe recomenda atualizar sua versão do JDK/JRE LTS do ColdFusion para a versão mais recente. A página de downloads do ColdFusion é atualizada regularmente para incluir os instaladores Java mais recentes da versão do JDK compatível com a instalação de acordo com as matrizes abaixo.

Para obter instruções sobre como usar um JDK externo, consulte Alterar JVM do ColdFusion.

A Adobe recomenda que os clientes apliquem as configurações de segurança incluída nas documentações de segurança do ColdFusion, além de revisar os respectivos guias de bloqueio.   

Requisito de JDK do ColdFusion

COLDFUSION 2025 (versão 2023.0.0.331385) e superior
Para os servidores de aplicativos

Em instalações JEE, defina o seguinte sinalizador JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativos que está sendo usado.

Por exemplo:
Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo 'Catalina.bat/sh'
Servidor de aplicativos WebLogic: edite JAVA_OPTIONS no arquivo 'startWeblogic.cmd'
Servidor de aplicativos WildFly/EAP: edite JAVA_OPTS no arquivo 'standalone.conf'
Defina os sinalizadores JVM em uma instalação JEE do ColdFusion, não em uma instalação autônoma.

COLDFUSION 2023 (versão 2023.0.0.330468) e superior
Para servidores de aplicativos

Em instalações JEE, defina o seguinte sinalizador JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativos que está sendo usado.

COLDFUSION 2021 (versão 2021.0.0.323925) e superior

Para servidores de aplicativos  

Em instalações do JEE, defina o seguinte sinalizador, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

no respectivo arquivo de inicialização, dependendo do tipo de servidor de aplicativos sendo usado.

Por exemplo:  

Servidor de aplicativos Apache Tomcat: edite JAVA_OPTS no arquivo "Catalina.bat/sh"  

Servidor de aplicativos WebLogic:  edite JAVA_OPTIONS no arquivo "startWeblogic.cmd"  

Servidor de aplicativos WildFly/EAP:  edite JAVA_OPTS no arquivo "standalone.conf"  

Defina os sinalizadores JVM em uma instalação de JEE de ColdFusion, não em uma instalação individual.  

Para mais informações, acesse https://helpx.adobe.com/br/security.html ou envie um email para PSIRT@adobe.com

Receba ajuda com mais rapidez e facilidade

Novo usuário?