Суть уязвимости

Уязвимость в консоли администратора Adobe ColdFusion позволяет удаленному злоумышленнику выполнить атаку типа "Directory Traversal" (обход каталогов). Используя специально сформированный запрос к уязвимому компоненту, атакующий может получить доступ и прочитать произвольные файлы на сервере, например, конфигурационные файлы, файлы с паролями или исходный код приложений.

Как исправить

Установите официальный патч от Adobe, устраняющий данную уязвимость.

1. Определите вашу текущую версию ColdFusion. Это можно сделать через административную консоль (/CFIDE/administrator/) в разделе "Информация о сервере" или проверив файлы в каталоге установки.

2. Загрузите и установите соответствующий патч (Hotfix) с официального портала Adobe:

   • Для ColdFusion 9.0: Установите Hotfix CHF901.zip (или более поздний, включающий его исправления).
   • Для ColdFusion 8.0.1: Установите Hotfix CHF801.zip.
   • Для ColdFusion 8.0: Сначала обновитесь до версии 8.0.1, затем установите соответствующий хотфикс.
   • Для ColdFusion 7.0.2: Установите Hotfix CHF702.zip.
   • Для ColdFusion 7.0: Сначала обновитесь до версии 7.0.2, затем установите хотфикс.

   Важно: Все ссылки на загрузку и подробные инструкции по установке находятся в официальном бюллетене Adobe: APSB10-20.

3. Примерный порядок действий на Linux-сервере: ```bash # 1. Остановите сервис ColdFusion sudo /opt/coldfusion9/bin/coldfusion stop

   2. Создайте резервную копию текущей установки

   sudo tar -czf /backup/coldfusion9_backup_$(date +%Y%m%d).tar.gz /opt/coldfusion9/

   3. Распакуйте архив с патчем в каталог установки ColdFusion (замените /path/to/CHF901.zip на актуальный путь)

   sudo unzip -o /path/to/CHF901.zip -d /opt/coldfusion9/

   4. Запустите сервис ColdFusion

   sudo /opt/coldfusion9/bin/coldfusion start `` 4. **Для Windows:** Используйте указанный выше бюллетень (APSB10-20) для загрузки исполняемого файла (*.exe`) патча и запустите его от имени администратора.

Временное решение

Если немедленная установка патча невозможна, примите следующие меры для снижения риска:

1. Ограничьте доступ к консоли администратора:

   • Настройте веб-сервер (Apache/Nginx/IIS) на блокировку или требование аутентификации для всех запросов к пути /CFIDE/administrator/ с IP-адресов, не входящих в доверенную административную сеть.
   • Пример для Nginx (добавьте в конфиг сайта): nginx location ~ ^/CFIDE/administrator/ { allow 192.168.1.0/24; # Разрешить только из внутренней сети deny all; auth_basic "Administrator Area"; auth_basic_user_file /etc/nginx/.htpasswd_admin; }

2. Настройте правила WAF (Web Application Firewall):

   • Активируйте или создайте правило для блокировки атак типа "Path Traversal" (Directory Traversal). Заблокируйте запросы, содержащие в URL последовательности типа ../, ..\, %2e%2e%2f и их вариации.
   • Пример сигнатуры для ModSecurity (CRS): SecRule REQUEST_URI|REQUEST_BODY "@contains ../" \ "id:100001,phase:2,deny,msg:'Path Traversal Attack Attempt'"

3. Проверьте и ужесточите права доступа к файловой системе:

   • Убедитесь, что учетная запись, от имени которой работает ColdFusion (например, cfusion), имеет минимально необходимые права на чтение/запись только в рабочих каталогах приложения и не имеет доступа к системным файлам.