CVE-2024-20767

CVE-2024-20767 - Произвольное чтение файловой системы с использованием уязвимости неправильного контроля доступа в Adobe ColdFusion

• Пожалуйста, обратитесь к статье блога ma4ter для получения дополнительной информации: Adobe ColdFusion任意文件读取漏洞CVE-2024-20767分析

Затронутые продукты и версии:

Продукт	Затронутые версии
ColdFusion 2023	Обновление 6 и более ранние версии
ColdFusion 2021	Обновление 12 и более ранние версии

• CVSS: 8.2
• Активно эксплуатируется: ДА
• Патч: ДА
• Смягчение: НЕТ

Лаборатория

Вы можете развернуть сервер ColdFusion с бесплатной пробной версией от Adobe:

• Скачать ColdFusion

Помощь

usage: CVE-2024-20767.py [-h] -t TARGET [-p PORT] -c COMMAND

options:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        Target Adobe ColdFusion Server URL
  -p PORT, --port PORT  Target Adobe ColdFusion Server Port, by default we use the 8500 Port
  -c COMMAND, --command COMMAND
                        Path to read file

Пример:

python CVE-2024-20767.py -t http://192.168.124.203 -p 8500 -c Windows/ServerStandardEval.xml

Ссылки

• Adobe ColdFusion任意文件读取漏洞CVE-2024-20767分析
• CVE-2024-20767: Критическая уязвимость Adobe ColdFusion раскрывает конфиденциальные файлы, опубликован PoC
• Доступны обновления безопасности для Adobe ColdFusion | APSB24-14