Adobe ColdFusion 肆意文件读取和肆意文件蕴含缝隙，，，，，， ，8827太阳集团提供解决规划
颁布功夫 2020-03-203月18日，，，，，， ，Adobe官方颁布针对Adobe Coldfusion的安全更新补丁，，，，，， ，编号为APSB20-16。 。。。。。。补丁中蕴含8827太阳集团ADLab发现并第一功夫提交给官方的Critical（危机）缝隙：Adobe ColdFusion 肆意文件读取缝隙（CVE-2020-3761）和肆意文件蕴含缝隙（CVE-2020-3794）。 。。。。。。
本次缝隙与Adobe ColdFusion的AJP connectors有关。 。。。。。。Adobe ColdFusion在处置AJP和谈的数据包时存在实现缺点，，，，，， ，导致有关参数可控。 。。。。。。攻击者可通过向指标发送精心机关的AJP和谈数据包读取指标服务器wwwroot目录下的肆意文件，，，，，， ，也可将指标服务器wwwroot及其子目录下的肆意文件当作jsp文件来诠释执行。 。。。。。。若指标服务器下的文件可控，，，，，， ，可进一步实现远程代码执行。 。。。。。。
解决规划
? 升级最新补丁APSB20-16
https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html
? 缝隙扫描
8827太阳集团天镜脆弱性扫描与治理系统V6.0于2020年3月19日垂危颁布针对该缝隙的升级包，，，，，， ，支持对该缝隙进行检测，，，，，， ，用户升级天镜漏扫产品缝隙库后即可对该缝隙进行扫描。 。。。。。。
6070版本升级包为607000279，，，，，， ，升级包下载地址：
/article/type/1/146.html
请天镜脆弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本，，，，，， ，实时对该缝隙进行检测，，，，，， ，以便尽快采取防备措施。 。。。。。。
? 产品检测与防护
由于以上两个缝隙与TOMCAT缝隙类似，，，，，， ，同为AJP和谈实现存在缺点导致的参数可控，，，，，， ，故已部署8827太阳集团IDS、IPS、WAF产品的客户无需升级即可有效检测或阻断攻击。 。。。。。。
京公网安备11010802024551号