英國(guó)倫敦滲透測(cè)試公司ProCheckUp在Adobe公司的ColdFusion編程語(yǔ)言中發(fā)現(xiàn)了一個(gè)漏洞，該漏洞使成千上萬(wàn)個(gè)公司面臨著攻擊的威脅。

ProCheckUp公司的研究員通過(guò)利用在ColdFusion Administrator（ColdFusion服務(wù)器的管理項(xiàng)目）中發(fā)現(xiàn)的目錄遍歷（directory traversal）和文件檢索漏洞，能夠從正在運(yùn)行ColdFusion的服務(wù)器上訪問(wèn)文件（包括用戶名和密碼）。不需要知道管理密碼，標(biāo)準(zhǔn)的Web瀏覽器就可被用來(lái)執(zhí)行該攻擊。

ProCheckUp管理經(jīng)理Richard Brain說(shuō)攻擊者能夠利用該漏洞來(lái)從服務(wù)器上竊取文件，獲得安全領(lǐng)域的訪問(wèn)權(quán)限，甚至能夠修改文件內(nèi)容，或關(guān)閉網(wǎng)站或應(yīng)用程序。

據(jù)Adobe官方網(wǎng)站的報(bào)道，美國(guó)銀行、JPMorgan Chase公司、美國(guó)聯(lián)邦儲(chǔ)備銀行、美國(guó)參議院以及賽門鐵克和邁克菲公司都采用了ColdFusion。

Brain說(shuō)他的研究顯示大概有一千萬(wàn)到兩千萬(wàn)個(gè)網(wǎng)站是使用ColdFusion編寫的，并配備使用ColdFusion管理頁(yè)面。Brain說(shuō)，“根據(jù)我們的調(diào)查，35%到40%使用ColdFusion的公司都暴露了其管理頁(yè)面，導(dǎo)致了其他人能夠讀取文件服務(wù)器上的文件?！?/P>

ProCheckUp在今年四月向Adobe報(bào)告了該漏洞，Adobe公司在8月10日發(fā)布了補(bǔ)丁。Procheckup已經(jīng)發(fā)布了關(guān)于這個(gè)漏洞的安全咨文，并將在7天后發(fā)布實(shí)際的利用代碼，使管理員能夠應(yīng)用該補(bǔ)丁。

但Brain警告說(shuō)Adobe的補(bǔ)丁適用于ColdFusion 8和9，大多數(shù)用戶仍然在使用ColdFusion 5、6和7，針對(duì)這幾個(gè)版本的補(bǔ)丁還未發(fā)布。

“這是一個(gè)很大的漏洞，如果這個(gè)漏洞被利用，這將導(dǎo)致一千萬(wàn)到兩千萬(wàn)個(gè)網(wǎng)站受到損害?！盉rain說(shuō)，“我建議使用ColdFusion 7及以下版本的用戶禁止訪問(wèn)ColdFusion管理員目錄功能。這就意味著要改變Web服務(wù)器控制臺(tái)設(shè)置，以防止用戶對(duì)CFIDE的訪問(wèn)。 ”

【編輯推薦】

1. 推出Firefox插件防范Adobe Flash文件漏洞
2. 八月十六日之后Adobe Reader溢出漏洞將獲得緊急補(bǔ)丁