Macromedia ColdFusion MX CFInclude和CFModule标记sandbox绕过漏洞发布时间：2003-01-10 更新时间：2003-01-10 严重程度：中 威胁程度：远程非授权文件存取 错误类型：输入验证错误 利用方式：服务器模式 BUGTRAQ ID：6566 受影响系统 Macromedia ColdFusion Server MX Enterprise详细描述 <cfinclude>和<cfmodule>标记接收文件名参数以相对路径操作，ColdFusion MX在包含带有这些标记的文件时没有检查Sandbox Security Files/Dirs权限，可导致模板使用这些标记未授权访问数据。 测试代码 尚无 解决方案 1，保证ColdFusion MX Updater2(http://dynamic.macromedia.com/bin/MM/software/trial/hwswrec.jsp?product=cfmx_updater)在运行 2，停止运行ColdFusion MX 3，建立目录如下： UNIX {cf_root}/runtime/servers/lib WINDOWS {cf_root}\runtime\servers\lib 4，拷贝http://download.macromedia.com/pub/security/coldfusion/60/48718.jar到新的目录。 5，重新启动ColdFusion MX 相关信息 参考：http://www.macromedia.com/v1/handlers/index.cfm?ID=23638 |
