Категория > Новости > Выпущен экстренный патч для уязвимости в ColdFusion - «Новости»

Выпущен экстренный патч для уязвимости в ColdFusion - «Новости»


7-03-2019, 18:02. Автор: Фотина
");
}else{
$('#mpu1-desktop').remove();
console.log('mpu1-desktop removed');
}
});
Рекомендуем почитать:

Xakep #239. Вскрыть и изучить

  • Содержание выпуска

  • Подписка на «Хакер»

Разработчики Adobe решили не дожидаться мартовского «вторника обновлений» (в это месяце выпадает на 12 марта) и выпустили внеплановый патч для критической проблемы в ColdFusion.


Уязвимость получила идентификатор CVE-2019-7816 и статус критической. Баг затрагивает все поддерживаемые на данный момент версии платформы (то есть ColdFusion 11, 2016 и 2018), а также более старые версии.


Согласно официальному бюллетеню безопасности, уязвимость связана с неавторизованной загрузкой файлов. Атакующий, имеющий соответствующий доступ, может загрузить на сервер исполняемый код и выполнить его в контексте ColdFusion посредством HTTP-запроса. Разработчики пишут, что вместо установки патча (если она по каким-то причинам невозможна) также можно ограничить запросы к директориям, где хранятся загруженные файлы.


Сообщается, что уязвимость обнаружили не ИБ-специалисты, но обычные ColdFusion-разработчики. Один из них, Чарли Арехарт (Charlie Arehart), рассказал изданию Bleeping Computer, что заметил проблему, когда с ее помощью был атакован один из его клиентов. Арехарт не стал вдаваться в подробности, говоря об атаках или самом баге, поэтому неизвестно, как именно хакеры эксплуатируют баг.


Напомню, что осенью прошлого года серверы ColdFusion уже подвергались атакам из-за похожей проблемы, тоже связанной с неавторизованной загрузкой файлов. Тогда злоумышленники использовали уязвимость для загрузки на уязвимые машины бэкдора China Chopper.


Источник новостиgoogle.com
Перейти обратно к новости