Adobe ha publicado un boletín de seguridad para anunciar la actualización necesaria para solucionar una vulnerabilidad en Cold Fusion que podría permitir la obtención de información sensible.
Detalle
de la actualización
- En el boletín de seguridad APSB16-30 de Adobe, se recoge una actualización para ColdFusion versiones 11 (Update 9) y 10 (Update 20). Este parche está destinado a corregir una vulnerabilidad crítica relacionada con un error en el tratamiento de entidades XML específicamente creadas que podrían facilitar la obtención de información sensible (CVE-2016-4264).
- Esta vulnerabilidad podría permitir varios tipos de ataque, incluyendo la lectura de archivos arbitrarios, el listado de directorios (web y sistema), ataques SSRF, ataques SMB Relay, subida de archivos temporales que podrían emplearse en combinación con otros ataques.
Se recomienda a los usuarios actualicen sus productos según las instrucciones proporcionadas por Adobe:
- ColdFusion 11 (Update 10): http://helpx.adobe.com/coldfusion/kb/coldfusion-11-update-10.html
- ColdFusion 10 (Update 21): http://helpx.adobe.com/coldfusion/kb/coldfusion-10-update-21.html
- Security Update: Hotfixes available for ColdFusion https://helpx.adobe.com/security/products/coldfusion/apsb16-30.html
- Adobe ColdFusion <= 11 XML External Entity (XXE) Injection http://legalhackers.com/advisories/Adobe-ColdFusion-11-XXE-Exploit-CVE-2016-4264.txt
