Adobe ColdFusion 恣意文件读取和恣意文件包括误差， ，，，，，南宫NG娱乐提供解决计划

宣布时间 2020-03-20

3月18日， ，，，，，Adobe官方宣布针对Adobe Coldfusion的清静更新补丁， ，，，，，编号为APSB20-16。。。。 。 。补丁中包括南宫NG娱乐ADLab发明并第一时间提交给官方的Critical（危急）误差：Adobe ColdFusion 恣意文件读取误差（CVE-2020-3761）和恣意文件包括误差（CVE-2020-3794）。。。。 。 。


本次误差与Adobe ColdFusion的AJP connectors相关。。。。 。 。Adobe ColdFusion在处置惩罚AJP协议的数据包时保存实现缺陷， ，，，，，导致相关参数可控。。。。 。 。攻击者可通过向目的发送全心结构的AJP协议数据包读取目的效劳器wwwroot目录下的恣意文件， ，，，，，也可将目的效劳器wwwroot及其子目录下的恣意文件看成jsp文件来诠释执行。。。。 。 。若目的效劳器下的文件可控， ，，，，，可进一步实现远程代码执行。。。。 。 。


解决计划


? 升级最新补丁APSB20-16

https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html


? 误差扫描


南宫NG娱乐天镜懦弱性扫描与治理系统V6.0于2020年3月19日紧迫宣布针对该误差的升级包， ，，，，，支持对该误差举行检测， ，，，，，用户升级天镜漏扫产品误差库后即可对该误差举行扫描。。。。 。 。


6070版本升级包为607000279， ，，，，，升级包下载地点：

/article/type/1/146.html


请天镜懦弱性扫描与治理系统V6.0产品的用户尽快升级到最新版本， ，，，，，实时对该误差举行检测， ，，，，，以便尽快接纳提防步伐。。。。 。 。


南宫NG娱乐(中国)官方网站


? 产品检测与防护


由于以上两个误差与TOMCAT误差类似， ，，，，，同为AJP协议实现保存缺陷导致的参数可控， ，，，，，故已安排南宫NG娱乐IDS、IPS、WAF产品的客户无需升级即可有用检测或阻断攻击。。。。 。 。