克日，， ，国家信息清静误差共享平台（CNVD）收录了Adobe ColdFusion反序列化误差（CNVD-2017-30461，， ，对应CVE-2017-11283），， ，攻击者乐成使用误差可导致敏感信息泄露及远程代码执行。
一、、误差情形剖析
ColdFusion，， ，是Adobe旗下的一个动态Web服务器，， ，其CFML（ColdFusionMarkup Language）是一种程序设计语言，， ，类似现在的JSP里的JSTL（JSP Standard Tag Lib），， ，从1995年最先开发，， ，其设计头脑被一些人以为很是先进，， ，被一些语言所借鉴。
ColdFusion保存反序列化误差，， ，其在开启“RemoteAdobe LiveCycle Data Management access”功效的条件下会开启rmiregistery服务，， ，且会在外地监听1099端口。由于程序未对不可信的数据做校验就举行了反序列化的操作，， ，攻击者可通过RMI协议向Adobe ColdFusion服务端发送全心结构的反序列化代码来触发误差实现远程代码执行，， ，并且在返回数据包中走漏ColdFusion路径以及jar包等敏感数据。
二、、误差影响规模
CNVD对该误差的综合评级为“高�！！！�。误差影响规模：：
ColdFusion 11 Update 12及之前版本
ColdFusion （2016 release） Update 4及之前版本
三、、处理建议
国家盘算机网络应急手艺处理协调中心广东分中心针对上述误差建议如下：：
1、、凭证官方宣布的清静更新，， ，建议升级最新补��：：
ColdFusion 11 Update13:
http://helpx.adobe.com/coldfusion/kb/coldfusion-11-update-13.html
ColdFusion (2016 release) Update5:
http://helpx.adobe.com/coldfusion/kb/coldfusion-2016-update-5.html
2、、不可实时升级补丁的，， ，可以接纳如下暂时解决方案：：
检查1099端口是否开放，， ，若是开放则保存清静隐患，， ，请实时关闭“Remote AdobeLiveCycle DataManagement access”服务。
网络治理中心
2017年10月19日
