【漏洞预警】Adobe ColdFusion 多个安全漏洞

漏洞预警 0 2152
指尖安全-小胖
指尖安全-小胖 2018年09月14日

概述

1

在Adobe ColdFusion中发现了多个漏洞,其中最严重的漏洞可能允许任意代码执行。Adobe ColdFusion是一个Web应用程序开发平台。成功利用这些漏洞中最严重的漏洞可能导致攻击者在受影响的应用程序的上下文中执行任意代码。根据与此应用程序关联的权限,攻击者可以安装程序; 查看,更改或删除数据; 或创建具有完全用户权限的新帐户。如果此应用程序已配置为拥有较少的系统用户权限,那么利用这些漏洞中最严重的漏洞可能比配置了管理权限的影响要小。

影响版本

ColdFusion 2018.0.0.310739 

ColdFusion 11 Update 14

 ColdFusion 11 Update 13

 ColdFusion 11 Update 12

 ColdFusion 11 Update 11

 ColdFusion 11 Update 9

 ColdFusion 11 Update 10 

ColdFusion 11 Update 8

 ColdFusion 11 Update 7

 ColdFusion 11 Update 6

 ColdFusion 11 Update 5

 ColdFusion 11 Update 4

 ColdFusion 11 Update 3

 ColdFusion 11 Update 2

 ColdFusion 11 Update 1

 ColdFusion 11

 ColdFusion 2016 Update 6

 ColdFusion 2016 Update 5

 ColdFusion 2016 Update 4

 ColdFusion 2016 Update 3 

ColdFusion 2016 Update 2

 ColdFusion 2016 Update 1

 ColdFusion 2016 

漏洞信息

反序列化

CVE编号

CVE-2018-15965

描述

该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时,由于输入验证错误,存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序,并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。

威胁等级

紧急

反序列化

CVE编号

CVE-2018-15957

描述

该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时,由于输入验证错误,存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序,并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。

威胁等级

紧急

反序列化

CVE编号

CVE-2018-15958

描述

该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时,由于输入验证错误,存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序,并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。

威胁等级

紧急

反序列化

CVE编号

CVE-2018-15959

描述

该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时,由于输入验证错误,存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序,并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。

威胁等级

紧急

任意文件覆盖/替换

CVE编号

CVE-2018-15960

描述

该漏洞允许远程攻击者破坏易受攻击的系统。由于使用易受攻击的组件而存在漏洞。远程未经身份验证的攻击者可以覆盖系统上的任意文件。成功利用漏洞可能会使攻击者破坏易受攻击的系统。

威胁等级

紧急

任意文件上传

CVE编号

CVE-2018-15961

描述

该漏洞允许远程攻击者在目标系统上执行任意代码。处理文件上载时由于输入验证错误而存在漏洞。远程攻击者可以在系统上载和执行危险文件。成功利用此漏洞可能会导致易受攻击的系统完全受损。

威胁等级

紧急

目录遍历

CVE编号

CVE-2018-15962

描述

该漏洞允许远程攻击者获取对敏感信息的访问权限。该漏洞由于一个错误而存在,该错误允许远程攻击者查看目录列表并获取系统上的文件夹和文件的名称。

威胁等级

高危

任意文件夹创建

CVE编号

CVE-2018-15963

描述

该漏洞允许攻击者可以允许创建任意文件夹。

威胁等级

高危

信息泄露

CVE编号

CVE-2018-15964

描述

该漏洞允许远程攻击者获取对敏感信息的访问权限。由于使用易受攻击的组件而存在漏洞。远程未经身份验证的攻击者可以通过未知向量访问敏感信息。

威胁等级

中危


修复建议

1. 方案一 反序列化漏洞:修改gateway-config.xml文件的配置,禁止EJBAdapter的使用。

2. 方案二 升级最新补丁: https://helpx.adobe.com/security/products/coldfusion/apsb18-33.html 

参考链接

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15957

 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15958

 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15959

 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15960

 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15961

 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15962 

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15963

 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15964 

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15965


文章标签