Категория > Новости > Выпущен экстренный патч для уязвимости в ColdFusion - «Новости»
Выпущен экстренный патч для уязвимости в ColdFusion - «Новости»7-03-2019, 18:02. Автор: Фотина |
"); }else{ $('#mpu1-desktop').remove(); console.log('mpu1-desktop removed'); } }); Рекомендуем почитать: Xakep #239. Вскрыть и изучить
Разработчики Adobe решили не дожидаться мартовского «вторника обновлений» (в это месяце выпадает на 12 марта) и выпустили внеплановый патч для критической проблемы в ColdFusion. Уязвимость получила идентификатор CVE-2019-7816 и статус критической. Баг затрагивает все поддерживаемые на данный момент версии платформы (то есть ColdFusion 11, 2016 и 2018), а также более старые версии. Согласно официальному бюллетеню безопасности, уязвимость связана с неавторизованной загрузкой файлов. Атакующий, имеющий соответствующий доступ, может загрузить на сервер исполняемый код и выполнить его в контексте ColdFusion посредством HTTP-запроса. Разработчики пишут, что вместо установки патча (если она по каким-то причинам невозможна) также можно ограничить запросы к директориям, где хранятся загруженные файлы. Сообщается, что уязвимость обнаружили не ИБ-специалисты, но обычные ColdFusion-разработчики. Один из них, Чарли Арехарт (Charlie Arehart), рассказал изданию Bleeping Computer, что заметил проблему, когда с ее помощью был атакован один из его клиентов. Арехарт не стал вдаваться в подробности, говоря об атаках или самом баге, поэтому неизвестно, как именно хакеры эксплуатируют баг. Напомню, что осенью прошлого года серверы ColdFusion уже подвергались атакам из-за похожей проблемы, тоже связанной с неавторизованной загрузкой файлов. Тогда злоумышленники использовали уязвимость для загрузки на уязвимые машины бэкдора China Chopper. Перейти обратно к новости |