Adobe ColdFusion 反序列化缝隙

颁布功夫 2018-09-13
颁布功夫：2018年9月13日
CVE编号：CVE-2018-15958、CVE-2018-15959
CNNVD编号：CNNVD-201809-488、CNNVD-201809-489
CNVD编号：CNVD-2018-18737、CNVD-2018-18736
缝隙起源：8827太阳集团ADLab


缝隙概述


2018年9月11号，，，，，，，，Adobe官方更新了针对Adobe Coldfusion的安全更新补丁，，，，，，，，编号为APSB18-33 。。。。 。补丁中蕴含8827太阳集团ADLab发现并第一功夫提交给官方的两个Critical（危机）缝隙，，，，，，，，缝隙编号别离为CVE-2018-15958、CVE-2018-15959 。。。。 。如下图所示：

8827太阳集团(Macau)股份有限公司-Official website


本次缝隙为AdobeColdFusion中FlashGateway服务中的缝隙 。。。。 。Adobe ColdFusion的FlashGateway服务存在反序列化缝隙，，，，，，，，未经身份验证的攻击者向指标AdobeColdFusion的FlashGateway服务发送精心机关的恶意数据，，，，，，，，经反序列化后可远程执行肆意代码 。。。。 。


缝隙功夫轴


2018年5月22日：将缝隙详情提交给官方 ；；；；；；；；
2018年8月03日：确认缝隙存在并起头着手建复 ；；；；；；；；
2018年8月28日：官方将预编译补丁发给8827太阳集团ADLab进行缝隙复测 ；；；；；；；；
2018年9月07日：经8827太阳集团ADLab尝试室与Adobe官方反复测试沟通后确认补丁有效 ；；；；；；；；
2018年9月11日：官方颁布正式补� 。。。。 � ；；；；；；；；

影响版本


ColdFusion 11 Update 14及之前版本、2016.0 Update 6及之前版本 。。。。 。

缝隙验证

8827太阳集团(Macau)股份有限公司-Official website

躲避规划


 批改gateway-config.xml文件的配置，，，，，，，，不容EJBAdapter的使用 。。。。 。

升级最新补丁APSB18-33：https://helpx.adobe.com/security/products/coldfusion/apsb18-33.html