英国伦敦渗透测试公司ProCheckUp在Adobe公司的ColdFusion编程语言中发明了一个漏洞，该漏洞使成千上万个公司面临着攻击的要挟。
ProCheckUp公司的研究员通过利用在ColdFusion Administrator（ColdFusion服务器的管理项目）中发明的目录遍历（directory traversal）和文件检索漏洞，能够从正在运行ColdFusion的服务器上访问文件（包含用户名和密码）。不需要知道管理密码，标准的Web浏览器就可被用来履行该攻击。
ProCheckUp管理经理Richard Brain说攻击者能够利用该漏洞来从服务器上窃取文件，获得安全范畴的访问权限，甚至能够修正文件内容，或关闭网站或利用程序。
据Adobe官方网站的报道，美国银行、JPMorgan Chase公司、美国联邦储备银行、美国参议院以及赛门铁克和迈克菲公司都采用了ColdFusion。
Brain说他的研究显示大概有一千万到两千万个网站是应用ColdFusion编写的，并配备应用ColdFusion管理页面。Brain说，“根据我们的调查，35%到40%应用ColdFusion的公司都裸露了其管理页面，导致了其他人能够读取文件服务器上的文件。”
ProCheckUp在今年四月向Adobe报告了该漏洞，Adobe公司在8月10日发布了补丁。Procheckup已经发布了关于这个漏洞的安全咨文，并将在7天后发布实际的利用代码，使管理员能够利用该补丁。
但Brain警告说Adobe的补丁实用于ColdFusion 8和9，大多数用户仍然在应用ColdFusion 5、6和7，针对这几个版本的补丁还未发布。
“这是一个很大的漏洞，如果这个漏洞被利用，这将导致一千万到两千万个网站受到侵害。”Brain说，“我建议应用ColdFusion 7及以下版本的用户禁止访问ColdFusion管理员目录功效。这就意味着要转变Web服务器把持台设置，以防止用户对CFIDE的访问。 ”
相关阅读