Adobe ColdFusion远程代码执行误差（CVE-2021-21087）

宣布时间 2021-03-23

0x00 误差概述

CVE  ID

CVE-2021-21087

时   间

2021-03-23

类   型

 RCE

等   级

高危

远程使用

是

影响规模


PoC/EXP

未果真

在野使用

是

 

0x01 误差详情

image.png

 

Adobe ColdFusion是美国Adobe公司研发的一款动态Web服务器产品，其运行的CFML（ColdFusion Markup Language）是一种针对Web应用的剧本语言。

2021年03月22日，Adobe官方宣布清静通告，果真了ColdFusion中的一个远程代码执行误差（CVE-2021-21087）。由于未准确验证输入，未授权的攻击者可以通过发送恶意请求来远程执行恣意代码，现在该误差已经泛起在野使用情形，但误差的细节尚未果真。

 

影响规模

Adobe ColdFusion 2016 <= Update 16

Adobe ColdFusion 2018 <= Update 10

Adobe ColdFusion 2021版本2021.0.0.323925

 

0x02 处置惩罚建议

现在官方已修复了此误差，建议实时更新至以下版本：

Adobe ColdFusion 2016 Update 17

Adobe ColdFusion 2018 Update 11

Adobe ColdFusion 2021 Update 1

 

手动装置更新

1.下载以下jar包。

Adobe ColdFusion 2016 Update 17

下载链接：

https://cfdownload.adobe.com/pub/adobe/coldfusion/2016/updates/hotfix-017-325979.jar

Adobe ColdFusion 2018 Update 11

下载链接：

https://cfdownload.adobe.com/pub/adobe/coldfusion/2018/updates/hotfix-011-326016.jar

Adobe ColdFusion 2021 Update 1

下载链接：

https://cfdownload.adobe.com/pub/adobe/coldfusion/2021/updates/hotfix-001-325996.jar

 

2.凭证下载的补丁文件执行以下响应下令（必需具有启动或阻止ColdFusion服务以及对ColdFusion根目录有完全会见权限。）

Windows:

<cf_root>/jre/bin/java.exe -jar <jar-file-dir>/hotfix-017-325979.jar

<cf_root>/jre/bin/java.exe -jar <jar-file-dir>/hotfix-011-326016.jar

<cf_root>/jre/bin/java.exe -jar <jar-file-dir>/hotfix-001-325996.jar

 

基于Linux的平台:

<cf_root>/jre/bin/java -jar <jar-file-dir>/hotfix-017-325979.jar

<cf_root>/jre/bin/java -jar <jar-file-dir>/hotfix-011-326016.jar

<cf_root>/jre/bin/java -jar <jar-file-dir>/hotfix-001-325996.jar

3. 确保与ColdFusion捆绑在一起的JRE用于执行下载的JAR。关于自力的ColdFusion，它必需位于<cf_root>/jre/bin。

4.更多信息，请参考：

https://helpx.adobe.com/coldfusion/configuring-administering/using-the-coldfusion-administrator.html#serverupdate

 

0x03 参考链接

https://helpx.adobe.com/security/products/coldfusion/apsb21-16.html#Solution

https://securityaffairs.co/wordpress/115864/security/adobe-coldfusion-flaw.html?

https://helpx.adobe.com/coldfusion/kb/coldfusion-2016-update-17.html

 

0x04 时间线

2021-03-22  Adobe宣布清静通告

2021-03-23  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png