Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
- Macromedia ColdFusion MX 6.0 ;
- Macromedia ColdFusion MX 6.1 ;
- Macromedia ColdFusion MX 6.1 avec JRun.
Résumé
De nombreuses vulnérabilités dans le serveur d'application ColdFusion permettent à un utilisateur distant mal intentionné de contourner la politique de sécurité ou de porter atteinte à la confidentialité des données.
Description
- Une vulnérabilité dans la fonction Sandbox Security, sur un système mettant en œuvre le serveur d'application ColdFusion avec JRun 4 de Macromedia, peut être exploitée par une personne mal intentionnée afin contourner la politique de sécurité et porter atteinte à la confidentialité des données ;
- une vulnérabilité dans le traitement du sujet d'un message électronique peut être exploitée pour contourner la politique de sécurité afin de joindre à ce message des fichiers arbitraires ;
- une vulnérabilité dans la fonction CFOBJECT/CreateObject(Java) peut être exploitée au moyen de classes Java malicieusement construites afin de contourner la politique de sécurité ;
- une vulnérabilité permet à un développeur mal intentionné de prendre connaissance du hash des mots de passe, au moyen d'un appel API (Application Programming Interface) malicieux.
Contournement provisoire
Pour les versions de ColdFusion MX 6.0 mettre à jour en passant à la version :
- ColdFusion MX 6.1 ;
Pour les versions de ColdFusion MX 6.1, appliquer le correctif disponible à l'adresse suivante :
http://download.macromedia.com/pub/security/mpsb05-12.zip
Solution
Appliquer la mise à jour de sécurité en passant à la version 7.0.1 de ColdFusion MX, disponible à l'adresse suivante :
http://www.macromedia.com/support/coldfusion/downloads_updates.html#mx7
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Macromedia MPSB05-12 du 15 décembre 2005 : http://www.macromedia.com/devnet/security/security_zone/mpsb05-12.html
- Bulletin de sécurité Macromedia MPSB05-14 du 15 décembre 2005 : http://www.macromedia.com/devnet/security/security_zone/mpsb05-14.html
- Mise à jour de sécurité ColdFusion MX 7.0.1 : http://www.macromedia.com/support/coldfusion/downloads_updates.html#mx7
