PT-2020-1933 · Adobe · Coldfusion

Publicado 2020-02-20 · Atualizado 2021-07-21 · CVE-2020-3794

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões 2016 e 2018 do ColdFusion

Descrição

O problema está relacionado a uma vulnerabilidade de inclusão de arquivos. Ela poderia permitir a execução de código arbitrário de arquivos localizados na raiz da web ou em seus subdiretórios. A vulnerabilidade também está associada aos nomes das funções PHP include ou require, o que poderia permitir que um invasor remoto executasse código PHP arbitrário no sistema alvo enviando uma solicitação HTTP especialmente criada.

Recomendações

Para o ColdFusion 2016, atualize para uma versão que inclua a correção para este problema.

Para o ColdFusion 2018, atualize para uma versão que inclua a correção para este problema.

Como solução alternativa temporária, considere restringir o acesso às funções PHP include ou require para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-829

CWE-98

Identificadores relacionados

BDU:2020-01211

CVE-2020-3794

Produtos afetados

Coldfusion

Referências · 7

• https://bdu.fstec.ru/vul/2020-01211 · Nota de Segurança
• https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html · Aviso do Fabricante
• https://securitylab.ru/news/506056.php · Nota
• https://osv.dev/vulnerability/CVE-2020-3794 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-3794 · Nota de Segurança
• https://cybersecurity-help.cz/blog/999.html · Nota
• https://cybersecurity-help.cz/vdb/SB2020031814 · Nota