Adobe 有 发布 ColdFusion 的紧急安全更新修复了一个严重漏洞 CVE-2024-53961，该漏洞可能允许攻击者读取任意文件。此漏洞影响 ColdFusion 2023 和 2021 版本。该缺陷由路径遍历问题引起，可能会暴露易受攻击的服务器上的敏感数据。虽然 Adobe 尚未确认存在任何实际利用情况，但由于存在主动攻击的风险，他们将该漏洞评为“优先级 1”。
Adobe 针对 ColdFusion 漏洞发布紧急更新
根据 Adobe 的建议，运行 ColdFusion 的组织应在 72 小时内安装最新更新（ColdFusion 2021 Update 18 和 ColdFusion 2023 Update 12）。该公司还强调实施 ColdFusion 锁定指南中概述的安全配置设置。已知的概念验证 (PoC) 漏洞代码引发了进一步的担忧，加大了系统管理员迅速采取行动的紧迫性。
这并不是 ColdFusion 第一次面临重大安全威胁。 2023 年 7 月，网络安全和基础设施安全局 (中西医结合协会）指示联邦机构保护其 ColdFusion 服务器免受两个关键漏洞的影响，包括 CVE-2023-29298 和 CVE-2023-38205，已在攻击中被利用。 CISA 指出，至少自 2007 年以来，与目录遍历相关的漏洞一直以各种形式存在，这凸显了软件开发人员在解决这些关键安全缺陷方面面临的持续挑战。
X-Force 事件指挥部确认正在持续监控此特定漏洞。他们建议使用 ColdFusion 的组织立即采取措施，包括应用补丁、实施访问控制和增强身份验证机制。这些措施可以帮助降低未经授权的访问风险并保护敏感数据免遭利用。
尽管缺乏确认的剥削案例 CVE-2024-53961，数据暴露的可能性仍然是组织严重关注的问题。该漏洞能够为攻击者提供对任意文件的访问权限，从而引发了有关敏感信息完整性的标记，包括可能进一步危及其他帐户的系统凭据。
随着越来越多的严重漏洞被发现，鼓励组织保持警惕。研究人员指出，路径遍历漏洞的普遍存在继续给许多系统带来重大风险。正如 CISA 所指出的，此类漏洞可能会导致严重的未经授权的访问，因此主动修复工作至关重要。
有效的监控和记录系统可以帮助检测任何未经授权的文件访问尝试，使公司有机会快速响应任何潜在的违规行为。建议使用 ColdFusion 的组织仔细查看 Adobe 的安全公告，并确定纠正措施的优先顺序，以增强其整体安全状况。
特色图片来源： 土坯
