Novos security bulletins para Jrun/CF

Agora pouco a Adobe/Macromedia soltou alguns boletins de segurança para os produtos JRun 4 e CFMX (versões 6.1 e 7.0) que não foram divulgadas nos feed aggregators tradicionais (por alguma razão desconhecida), que porém são importantes serem conhecidos, especialmente o que requer um hotfix específico (além da recomendação de se instalar os últimos updaters), que é o caso da versão 6.X (veja abaixo).

Os boletins são:

MPSB05-12 Sandbox Security and CFMAIL Vulnerability in ColdFusion MX 6.X
MPSB05-13 Cumulative Security Updater for JRun 4.0 server
MPSB05-14 Cumulative Security Updater for ColdFusion MX 7

Sendo que no último destes boletins, podemos ver a Adobe/Macromedia agradecendo ao nosso “réquer”, criptógrafo e garanhão mór do CFGIGOLÔ, o Fabio Terracini.

Adobe would like to thank the following individuals for reporting the vulnerabilities listed in this bulletin and for working with us to help protect our customers’ security.

Russ Michaels – JRun Clustered Sandbox Security Vulnerability.
Mike Nicholls – CFMAIL injection Vulnerability
Andy Allan – CFOBJECT Sandbox Security Vulnerability
Fabio Terracini – Administrator Hash Exposure Vulnerability

É sempre bom saber que os brasileiros podem ser ouvidos pela “nave mãe”. Parabéns pela menção garanhão! Ah, e por favor… deixe meus servidores em paz!! 😉

IMPORTANTE: quem estiver rodando CFMX 7.01 e JRun 4 com o updater 6 instalado não está vulnerável à nenhum dos problemas relatados, sendo que a recomendação da Adobe/MM é justamente instalar estas últimas atualizações. Agora, se você está rodando o CFMX 6.1, você vai precisar instalar um hotfix disponível no boletim acima.

CF Memory Monitor

Outra boa dica para aqueles interessados em conhecer o CF mais de perto:

ColdFusion Memory Usage Stats (Revisited)

O scriptzinho é bem interessante e dá algumas boas indicações visuais de como está sendo usada a memória do seu servidor CF, tudo isso numa interface bem feita (em Flash).

Ano passado o Ronan Lucio postou um script semelhante na CF-Brasil, que vale a pena conhecer.

Como o CF funciona?

Excelente resumo técnico sobre as etapas envolvidas no acesso a um script CFML passando pelo compilador CFM -> Javabytecode, pelo webserver (o Apache foi usado como exemplo) e algumas outras considerações bem colocadas e resumidas, inclusive mencionando qual é o compilador usado desde a versão 6.1. Trata-se do BCEL, feito pelo pessoal do Apache group. Me chamou também a atenção a informação de que os servidores do Macromedia.com usam o servidor built-in do CF para responder a requisições oriundas de um cluster feito com o Apache (webserver), contrariando o que ela mesma recomenda (não usar o servidor built-in em produção). Leitura recomendada:

How ColdFusion Receives and Processes Requests

FCKEditor Image upload para ColdFusion (upload.cfm)

Tive que montar um sisteminha e parti para usar o FCKEditor 2.1.1 (excelente), mas percebi que para ColdFusion faltava um módulo de upload de imagens (não confundir com o gerenciador de arquivos que já existe e acompanha o produto), que teoricamente deveria ser um arquivinho chamado “upload.cfm”. O arquivo connector.cfm, que se propõe a fazer o gerenciamento de arquivos e outras coisas (tal como nas versões disponívels em ASP, ASP.net e PHP) é incapaz de fazer o upload de imagens (usado na opção “Upload”) do FCKEditor image button, pois não responde ao editor de forma adequada. Procurei bastante na internet, mas parece que não existe nenhum módulo pronto para a versão 2.1.1 (a mais nova), por isso posto aqui o “upload.cfm” que fiz, de forma bem improvisada e rápida, para sanar a minha necessidade atual. Sinta-se livre para usá-lo e melhorá-lo.

FCKeditor_upload_cfm.zip

O zip já vêm com a estrutura de diretórios montada, mas para informação, você deve:

1) Extrair os dois arquivos (config.cfm e upload.cfm) na pasta /FCKEditor/editor/filemanager/upload/cfm/ (a pasta “cfm” não existe e precisa ser criada).
2) Não se esqueça de configurar o arquivo “fckconfig.js” para configurar a entrada “FCKConfig.ImageUploadURL” e “FCKConfig.FlashUploadURL” corretamente. Como exemplo segue a cópia do meu fckconfig aqui.