Adobe ColdFusion 曝 11 个严重漏洞 (含 CVSS 9.1)！RCE/文件读取，技术解读与修复指南

Adobe 公司近日发布了一系列重要的安全更新，修复了其多款产品中的安全漏洞。其中，Adobe ColdFusion (版本 2025, 2023, 2021) 存在多达 30 个漏洞，其中 11 个被评为“严重 (Critical)”级别，多个漏洞 CVSS 评分高达 9.1，可能导致严重后果，需要立即关注。

ColdFusion 严重漏洞技术概览与解读：

这 11 个严重漏洞涵盖了多种高风险类型，主要可导致任意文件系统读取、任意代码执行 (Arbitrary Code Execution, ACE) 和安全功能绕过。

• 任意代码执行 (ACE) 类漏洞 (7 个，部分 CVSS 高达 9.1)：

• 技术解读
  
  应用程序将用户提供的输入（或其他外部数据）未经验证或过滤就拼接到操作系统命令中执行。攻击者可以通过注入恶意的命令分隔符或语法（如 ;, |, && 等），执行任意系统命令。
• 技术解读
  
  身份验证机制存在逻辑缺陷或实现错误，可能允许攻击者绕过登录验证或权限检查，直接访问或执行本应受保护的管理功能或API，进而可能触发代码执行。
• 技术解读
  
  当应用程序反序列化来自不可信来源的数据时，若未进行严格验证，攻击者可能构造恶意的序列化对象，在反序列化过程中注入并执行任意代码。这是常见的 RCE 攻击向量。
• 不可信数据反序列化 (Deserialization of Untrusted Data)
  
   (CVE-2025-24447[9.1], CVE-2025-30284[8.0], CVE-2025-30285[8.0])
• 不正确的身份验证 (Improper Authentication)
  
   (CVE-2025-30282[9.1], CVE-2025-30287[8.1])
• 操作系统命令注入 (OS Command Injection)
  
   (CVE-2025-30286[8.0], CVE-2025-30289[7.5])

• 任意文件系统读取类漏洞 (2 个，CVSS 均高达 9.1)：

• 技术解读
  
  由于输入验证不足（如未过滤路径遍历字符）或访问控制检查不当，允许攻击者读取其本无权访问的文件系统路径下的内容，导致敏感信息泄露。CVSS 9.1 评分凸显其严重性。
• 不正确的输入验证 (Improper Input Validation)
  
   (CVE-2025-24446[9.1])
• 不正确的访问控制 (Improper Access Control)
  
   (CVE-2025-30281[9.1])

• 安全功能绕过类漏洞 (2 个)：

• 技术解读
  
  这些漏洞允许攻击者绕过预设的安全机制，例如访问受限的资源或执行受限的操作，虽然不直接导致 RCE 或文件读取，但可能成为复杂攻击链中的关键一环。
• 不正确的访问控制 (Improper Access Control)
  
   (CVE-2025-30288[7.8])
• 路径遍历 (Path Traversal)
  
   (CVE-2025-30290[8.7])

受影响的 ColdFusion 版本与修复方案：

存在漏洞的 ColdFusion 主要版本包括 2021, 2023 和 2025。Adobe 已发布更新修复这些问题，请用户尽快升级至以下或更新版本：

• ColdFusion 2021: 升级至 Update 19
• ColdFusion 2023: 升级至 Update 13
• ColdFusion 2025: 升级至 Update 1

请用户根据自身当前版本，参考 Adobe 官方文档规划升级路径，确保平稳过渡到安全版本。

其他 Adobe 产品安全更新概览 (均可能导致 ACE)：

本次更新同样修复了 Adobe Creative Cloud 及其他产品中的多个内存安全漏洞，这些漏洞均可能导致任意代码执行 (ACE)。

• 漏洞类型
  
  主要为越界写入 (OOB Write) 和 基于堆的缓冲区溢出 (Heap-based Buffer Overflow)。
• 受影响产品及对应 CVE
• After Effects (AE): CVE-2025-27182, CVE-2025-27183
• Media Encoder (ME): CVE-2025-27194, CVE-2025-27195
• Bridge (BR): CVE-2025-27193
• Premiere Pro (PR): CVE-2025-27196
• Photoshop (PS): CVE-2025-27198
• Animate (AN): CVE-2025-27199
• FrameMaker (FM): CVE-2025-30304, CVE-2025-30297, CVE-2025-30295
• 建议
  
  使用这些产品的用户也应高度重视并尽快安装更新。

利用情况与风险提示：

Adobe 表示，目前尚未发现针对上述任何漏洞的在野利用活动。然而，鉴于 ColdFusion 因其广泛应用于企业 Web 应用和后台系统而历史上一直是攻击者的重点目标，且本次修复的漏洞包含多个严重级别、可导致远程代码执行的缺陷，强烈建议所有用户不要等待，立即采取行动进行更新，以防范潜在的未来攻击。

行动呼吁：

请所有使用 Adobe ColdFusion 及上述其他产品的用户，立即检查您的软件版本，并尽快应用官方发布的安全更新。保护您的系统和数据安全刻不容缓！

原文始发于微信公众号（技术修道场）：Adobe ColdFusion 曝 11 个严重漏洞 (含 CVSS 9.1)！RCE/文件读取，技术解读与修复指南