【安全通报】Adobe ColdFusion 远程代码执行漏洞（CVE-2021-21087）

Adobe ColdFusion是一个快速应用程序开发平台。

近日，Adobe ColdFusion 官方发布安全更新，修复了CVE-2021-21087 远程代码执行漏洞。Adobe ColdFusion 存在远程代码执行漏洞，由于过滤不严，未经授权的攻击者可构造恶意请求，造成任意代码执行，控制服务器。建议相关用户尽快采取安全措施阻止漏洞攻击。

CVE 编号

CVE-2021-21087

FOFA查询

app="Adobe-ColdFusion"

影响范围

• Adobe ColdFusion 2021 <= Version 2021.0.0.323925
• Adobe ColdFusion 2018 <= Update 10
• Adobe ColdFusion 2016 <= Update 16

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="Adobe-ColdFusion"）共有 115,364 个相关服务对外开放。美国使用数量最多，共有 72,683 个；德国第二，共有 5,778 个；加拿大第三，共有 4,694 个；英国第四，共有 4,000 个；瑞士第五，共有 3,091 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区北京使用数量最多，共有 87 个；上海第二，共有 36 个；浙江第三，共有 16 个；辽宁第四，共有 10 个；山东第五，共有 10 个。

修复建议

1. 升级Adobe ColdFusion至最新版本，可依照下述链接下载相应版本的补丁，下载链接：

   Adobe ColdFusion 2021：https://cfdownload.adobe.com/pub/adobe/coldfusion/2021/updates/hotfix-001-325996.jar

   Adobe ColdFusion 2018：https://cfdownload.adobe.com/pub/adobe/coldfusion/2018/updates/hotfix-011-326016.jar

   Adobe ColdFusion 2016：https://cfdownload.adobe.com/pub/adobe/coldfusion/2016/updates/hotfix-017-325979.jar

参考

[1] https://helpx.adobe.com/security/products/coldfusion/apsb21-16.html#Solution

[2] https://mp.weixin.qq.com/s/mjmOr8KajY9vOrVt2h_nHQ

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。