Avis du CERT-FR
Objet : Vulnérabilités dans Adobe ColdFusion
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection de code indirecte à distance (XSS)
Systèmes affectés
- Adobe ColdFusion 8 ;
- Adobe ColdFusion MX 7.
Résumé
Plusieurs vulnérabilités dans Adobe ColdFusion permettent à un utilisateur distant malintentionné de contourner la politique de sécurité ou de réaliser une attaque de type cross site scripting.
Description
Deux vulnérabilités dans certaines applications de ColdFusion, notamment celles mettant en œuvre la fonction setEncoding dans les fichiers Application.chm et Application.cfc, permettent à une personne malveillante de réaliser une attaque de type cross site scripting.
Une vulnérabilité dans Adobe ColdFusion permet de contourner la politique de sécurité appliquée à la journalisation des connexions à l'interface d'administration.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Adobe apsb08-06 du 11 mars 2008 :
http://www.adobe.com/support/security/bulletins/apsb08-06.html -
Bulletin de sécurité Adobe apsb08-07 du 11 mars 2008 :
http://www.adobe.com/support/security/bulletins/apsb08-07.html -
Bulletin de sécurité Adobe apsb08-08 du 11 mars 2008 :
http://www.adobe.com/support/security/bulletins/apsb08-08.html -
Référence CVE CVE-2008-0643
https://www.cve.org/CVERecord?id=CVE-2008-0643 -
Référence CVE CVE-2008-0644
https://www.cve.org/CVERecord?id=CVE-2008-0644 -
Référence CVE CVE-2008-1203
https://www.cve.org/CVERecord?id=CVE-2008-1203
Gestion détaillée du document
| Date | Description |
|---|---|
| 13 mars 2008 | version initiale. |