Adobe ColdFusion RCE漏洞CVE-2024-41874预警

Adobe ColdFusion 是一个高性能应用程序服务器，程序员可以轻松进行Web开发，得到可扩展、颠覆可靠的作品。

一、基本情况

ColdFusion最早是Allaire公司开发的服务器平台，ColdFusion Markup Language是针对Web应用的一种脚本语言。

Allaire公司被 Macromedia 公司收购以后，推出了 Macromedia ColdFusion 5.0版本，类似于其他的应用程序语言。

Macromedia 后被 Adobe 并购，ColdFusion 亦成为 Adobe 旗下产品，提供如webservice等更灵活的调用支持方式。

Adobe ColdFusion 是一个动态Web服务器，作为商业化开发平台，主要用于创建和维护动态网页和Web应用程序。

二、漏洞描述

Adobe ColdFusion 2023.9、2021.15 及更早的版本受反序列化不受信任数据漏洞影响，导致用户上下文中执行代码。

别有用心的攻击者利用该漏洞，通过向应用程序提供精心设计的输入，这些输入在反序列化后会导致执行恶意代码。

Adobe官方日前发布安全公告，已修复Adobe ColdFusion远程代码执行漏洞（CVE-2024-41874），CVSS评分9.8。

三、影响范围

Adobe ColdFusion 2023 <= Update 9（所有平台）

Adobe ColdFusion 2021<= Update 15（所有平台）

四、修复建议

目前该漏洞已经修复，受影响用户需升级到如下版本：

Adobe ColdFusion 2023 >= Update 10

Adobe ColdFusion 2021>= Update 16

五、 参考链接

https://nvd.nist.gov/vuln/detail/CVE-2024-41874

https://www.adobe.com/products/coldfusion-family.html

https://helpx.adobe.com/security/products/coldfusion/apsb24-71.html