发布日期：2020-03-18
更新日期：2020-03-27

受影响系统：

Adobe ColdFusion <= 2018 Update 7
Adobe ColdFusion <= 2016 Update 13

描述：

---

CVE(CAN) ID: CVE-2020-3761

Adobe ColdFusion是一套快速应用程序开发平台。

Adobe ColdFusion 2016 Update 13及之前版本、ColdFusion 2018 Update 7及之前版本，在实现中存在远程文件读取安全漏洞。攻击者可利用该漏洞从Coldfusion安装目录中读取任意文件。

<*来源：Wang Cheng
  
  链接：https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html
*>

建议：

---

厂商补丁：

Adobe
-----
Adobe已经为此发布了一个安全公告（APSB20-16）以及相应补丁:
APSB20-16：Security updates available for ColdFusion
链接：https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html

注意：
建议更新ColdFusion JDK/JRE到最新版LTS releases for 1.8 /JDK 11；更新了ColdFusion，但是不更新相应的JDK，服务器不会得到保护。
请参考：
JEE Application Servers:
https://helpx.adobe.com/coldfusion/kb/coldfusion-2018-update-8.html#jee
ColdFusion 11
https://helpx.adobe.com/coldfusion/kb/coldfusion-11-mitigation-steps.htm
https://helpx.adobe.com/coldfusion/using/server-lockdown.html
http://wwwimages.adobe.com/content/dam/acom/en/products/coldfusion/pdfs/coldfusion-2016-lockdown-guide.pdf

浏览次数：1045
严重程度：0（网友投票）