Data di pubblicazione: 14 giugno 2011
Identificatore di vulnerabilità: APSB15-11
Codice CVE: CVE-2011-2092, CVE-2011-2093
Piattaforme: tutte
Sono state identificate due importanti vulnerabilità in LiveCycle Data Services e BlazeDS. Tali vulnerabilità riguardano LiveCycle Data Services 3.1, 2.6.1, 2.5.1 e versioni precedenti per Windows, Macintosh e UNIX, nonché LiveCycle 9.0.0.2, 8.2.1.3, 8.0.1.3 e versioni precedenti per Windows, Linux e UNIX. Tali vulnerabilità riguardano anche BlazeDS 4.0.1 e versioni precedenti. Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti in questione in base alle istruzioni fornite nella sezione Soluzione riportata di seguito.
Adobe consiglia agli utenti di LiveCycle Data Services, LiveCycle e/o BlazeDS di aggiornare le proprie installazioni in base alle istruzioni riportate di seguito:
LiveCycle Data Services
Flex Data Services 2.0.1
Prerequisito: è necessario che Flex Data Services 2.0.1 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per FDS 2.0.1 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar e flex-messaging.jar nella directory /WEB-INF/lib/ dell'applicazione web Flex Data Services a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Copiare il file flex-messaging-common.jar nella directory /lib di Flex SDK. Questa operazione deve essere effettuata solo se è necessario compilare l'applicazione in base a un file services-config.xml con la configurazione dei convalidatori. Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
LiveCycle Data Services 2.5
Prerequisito: è necessario che LiveCycle Data Services 2.5 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per LCDS 2.5 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar e flex-messaging.jar nella directory /WEB-INF/lib/ dell'applicazione web LiveCycle Data Services a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Copiare il file flex-messaging-common.jar nella directory /lib di Flex SDK. Questa operazione deve essere effettuata solo se è necessario compilare l'applicazione in base a un file services-config.xml con la configurazione dei convalidatori. Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
LiveCycle Data Services 2.5.1
Prerequisito: è necessario che LiveCycle Data Services 2.5.1 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per LCDS 2.5.1 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar e flex-messaging.jar nella directory /WEB-INF/lib/ dell'applicazione web LiveCycle Data Services a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Copiare il file flex-messaging-common.jar nella directory /lib di Flex SDK. Questa operazione deve essere effettuata solo se è necessario compilare l'applicazione in base a un file services-config.xml con la configurazione dei convalidatori. Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
LiveCycle Data Services 2.6
Prerequisito: è necessario che LiveCycle Data Services 2.6 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per LCDS 2.6 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar, flex-messaging-core.jar e flex-messaging-data.jar nella directory /WEB-INF/lib/ dell'applicazione web LiveCycle Data Services a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Copiare il file flex-messaging-common.jar nella directory /lib di Flex SDK. Questa operazione deve essere effettuata solo se è necessario compilare l'applicazione in base a un file services-config.xml con la configurazione dei convalidatori. Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
LiveCycle Data Services 2.6.1
Prerequisito: è necessario che LiveCycle Data Services 2.6.1 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per LCDS 2.6.1 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar, flex-messaging-core.jar e flex-messaging-data.jar nella directory /WEB-INF/lib/ dell'applicazione web LiveCycle Data Services a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Copiare il file flex-messaging-common.jar nella directory /lib di Flex SDK. Questa operazione deve essere effettuata solo se è necessario compilare l'applicazione in base a un file services-config.xml con la configurazione dei convalidatori. Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
LiveCycle Data Services 3
Prerequisito: è necessario che LiveCycle Data Services 3 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per LCDS 3 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar, flex-messaging-core.jar e flex-messaging-data.jar nella directory /WEB-INF/lib/ dell'applicazione web LiveCycle Data Services a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
LiveCycle Data Services 3.1
Prerequisito: è necessario che LiveCycle Data Services 3.1 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per LCDS 3.1 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar, flex-messaging-core.jar e flex-messaging-data.jar nella directory /WEB-INF/lib/ dell'applicazione web LiveCycle Data Services a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
LiveCycle 9.0.0.2, 8.2.1.3 e 8.0.1.3
Scaricare la correzione rapida appropriata per la propria versione di LiveCycle e per la piattaforma o il sistema operativo corrispondente. Consultare il file Leggimi e seguire le istruzioni in esso contenute per installare:LiveCycle 9.0.0.2:
Leggimi: QF2.73_9002
Download
Sistema operativo
Nome file
MD5
Dimensioni file
JBoss
Windows
1eec5f0840f909443e0604fc5139dd1b
346 M
WebLogic
Windows
e9d9807023226ae272043804a329067f
346 M
WebSphere
Windows
f4c185d5fbec5653b135851562439ee4
405 M
LiveCycle 8.2.1.3:
Leggimi: QF3.134_8213
Sistema operativo
Nome file
MD5
Dimensioni file
Windows
38821142e06f9550ddfacef957ce4137
238 M
Linux
bc9e9d5719e2d2d261043fa3a9a585e8
213 M
Sun OS
d71331deb3522ed663a670280b2d514d
213 M
LiveCycle 8.0.1.3:
Leggimi: QF3.24_801
Sistema operativo
Nome file
MD5
Dimensioni file
Windows
4f36c6ebdb59b3d67cf4df55c0c38bdc
274 M
Linux
e6bb84903879929aa5a6eab5fab2dc81
249 M
Sun OS
40b1dda0d6bca92b3b807cacb20ae0b0
249 M
BlazeDS 4.0.1
Prerequisito: è necessario che BlazeDS 4.0.1 sia già installato.
Istruzioni per l'installazione
- Scaricare il file .zip contenente la patch per BlazeDS 4.0.1 ed estrarne il contenuto nel file system locale.
- Copiare i file flex-messaging-common.jar e flex-messaging-core.jar nella directory /WEB-INF/lib/ dell'applicazione web BlazeDS a cui si desidera applicare la correzione, sovrascrivendo le versioni esistenti di questi file, quindi riavviare il server.
- Non è necessario ricompilare l'applicazione per rendere effettive le modifiche attuate nell'ambito di questa correzione di sicurezza, in quanto tutte le modifiche sono lato server.
Nota: per le versioni precedenti di BlazeDS, Adobe consiglia agli utenti di eseguire l'aggiornamento alla versione BlazeDS 4.0.1 e quindi applicare la patch di sicurezza seguendo le istruzioni sopra riportate.
Adobe classifica questi problemi come importanti e consiglia agli utenti di applicare l'aggiornamento più recente per i prodotti installati sul proprio computer seguendo le istruzioni fornite nella sezione Soluzione di cui sopra.
Sono state identificate due importanti vulnerabilità in LiveCycle Data Services e BlazeDS. Tali vulnerabilità riguardano LiveCycle Data Services 3.1, 2.6.1, 2.5.1 e versioni precedenti per Windows, Macintosh e UNIX, nonché LiveCycle 9.0.0.2, 8.2.1.3, 8.0.1.3 e versioni precedenti per Windows, Linux e UNIX. Tali vulnerabilità riguardano anche BlazeDS 4.0.1 e versioni precedenti. Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti in questione in base alle istruzioni fornite nella sezione Soluzione di cui sopra.
Questi aggiornamenti risolvono una vulnerabilità legata alla creazione illimitata di classi durante la deserializzazione AMF/AMFX che genera rischi per la sicurezza (CVE-2011-2092).
Questi aggiornamenti risolvono una vulnerabilità relativa a grafici di oggetti complessi che potrebbe provocare un problema di tipo Denial of Service (DoS) (CVE-2011-2093).
Adobe desidera ringraziare Wouter Coekaerts (CVE-2011-2092, CVE-2011-2093) per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti.
