概述
在Adobe ColdFusion中发现了多个漏洞，其中最严重的漏洞可能允许任意代码执行。Adobe ColdFusion是一个Web应用程序开发平台。成功利用这些漏洞中最严重的漏洞可能导致攻击者在受影响的应用程序的上下文中执行任意代码。根据与此应用程序关联的权限，攻击者可以安装程序; 查看，更改或删除数据; 或创建具有完全用户权限的新帐户。如果此应用程序已配置为拥有较少的系统用户权限，那么利用这些漏洞中最严重的漏洞可能比配置了管理权限的影响要小。
影响版本
ColdFusion 2018.0.0.310739
ColdFusion 11 Update 14
ColdFusion 11 Update 13
ColdFusion 11 Update 12
ColdFusion 11 Update 11
ColdFusion 11 Update 9
ColdFusion 11 Update 10
ColdFusion 11 Update 8
ColdFusion 11 Update 7
ColdFusion 11 Update 6
ColdFusion 11 Update 5
ColdFusion 11 Update 4
ColdFusion 11 Update 3
ColdFusion 11 Update 2
ColdFusion 11 Update 1
ColdFusion 11
ColdFusion 2016 Update 6
ColdFusion 2016 Update 5
ColdFusion 2016 Update 4
ColdFusion 2016 Update 3
ColdFusion 2016 Update 2
ColdFusion 2016 Update 1
ColdFusion 2016
漏洞信息
反序列化
CVE编号
CVE-2018-15965
描述
该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时，由于输入验证错误，存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序，并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。
威胁等级
紧急
反序列化
CVE编号
CVE-2018-15957
描述
该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时，由于输入验证错误，存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序，并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。
威胁等级
紧急
反序列化
CVE编号
CVE-2018-15958
描述
该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时，由于输入验证错误，存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序，并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。
威胁等级
紧急
反序列化
CVE编号
CVE-2018-15959
描述
该漏洞允许远程攻击者在目标系统上执行任意代码。处理序列化数据时，由于输入验证错误，存在漏洞。远程未经身份验证的攻击者可以将特制的序列化数据传递给受影响的应用程序，并在目标系统上执行任意代码。成功利用此漏洞可能会导致易受攻击的系统完全受损。
威胁等级
紧急
任意文件覆盖/替换
CVE编号
CVE-2018-15960
描述
该漏洞允许远程攻击者破坏易受攻击的系统。由于使用易受攻击的组件而存在漏洞。远程未经身份验证的攻击者可以覆盖系统上的任意文件。成功利用漏洞可能会使攻击者破坏易受攻击的系统。
威胁等级
紧急
任意文件上传
CVE编号
CVE-2018-15961
描述
该漏洞允许远程攻击者在目标系统上执行任意代码。处理文件上载时由于输入验证错误而存在漏洞。远程攻击者可以在系统上载和执行危险文件。成功利用此漏洞可能会导致易受攻击的系统完全受损。
威胁等级
紧急
目录遍历
CVE编号
CVE-2018-15962
描述
该漏洞允许远程攻击者获取对敏感信息的访问权限。该漏洞由于一个错误而存在，该错误允许远程攻击者查看目录列表并获取系统上的文件夹和文件的名称。
威胁等级
高危
任意文件夹创建
CVE编号
CVE-2018-15963
描述
该漏洞允许攻击者可以允许创建任意文件夹。
威胁等级
高危
信息泄露
CVE编号
CVE-2018-15964
描述
该漏洞允许远程攻击者获取对敏感信息的访问权限。由于使用易受攻击的组件而存在漏洞。远程未经身份验证的攻击者可以通过未知向量访问敏感信息。
威胁等级
中危
修复建议
1. 方案一
反序列化漏洞：修改gateway-config.xml文件的配置，禁止EJBAdapter的使用。
2. 方案二
升级最新补丁：
https://helpx.adobe.com/security/products/coldfusion/apsb18-33.html
参考链接
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15957
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15958
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15959
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15960
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15961
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15962
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15963
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15964
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15965
