【原创漏洞】Adobe ColdFusion 任意文件读取和任意文件包罗漏洞通告
宣布时间 2020-03-20漏洞概述
2020年3月18日 ，Adobe官方宣布针对Adobe Coldfusion的宁静更新补丁 ，编号为APSB20-16 。补丁中包罗东森平台ADLab发现并第一时间提交给官方的Critical（危急）漏洞 ，Adobe ColdFusion 任意文件读� 。–VE-2020-3761）和任意文件包罗（CVE-2020-3794）漏洞 。如下图所示：
本次漏洞与Adobe ColdFusion的AJP connectors相关 。Adobe ColdFusion在处置AJP协议的数据包时存在实现缺陷 ，导致相关参数可控 。攻击者可通过向目标发送精心结构的AJP协议数据包读取目标服务器wwwroot目录下的任意文件 ，也可将目标服务器wwwroot及其子目录下的任意文件看成jsp文件来解释执行 。若目标服务器下的文件可控 ，可进一步实现远程代码执行 。
漏洞时间轴
2020年3月2日 ，ADLab将漏洞详情提交给Adobe官方；
2020年3月3日 ，Adobe官方确认漏洞存在并开始着手修复；
2020年3月18日 ，Adobe官方宣布宁静补丁 。
受影响版本
ColdFusion 2016 Update13及之前版本
ColdFusion 2018 Update7及之前版本
漏洞利用
测试环境：Adobe ColdFusion 2018
漏洞利用效果：
1、wwwroot目录下任意文件读取
2、wwwroot目录及其子目录下任意文件包罗
规避方案
升级最新补丁APSB20-16：https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html
京公网安备11010802024551号