Adobe ColdFusion任意文件读取漏洞CVE-2024-20767分析

过年的时候挖的，目前已经发布修复补丁，点击阅读原文可跳转原文地址！ 

CVE: CVE-2024-20767

Ref: 

https://helpx.adobe.com/security/products/coldfusion/apsb24-14.html

/CFIDE/adminapi/_servermanager/servermanager.cfc其实是一个多个字节码文件合在一起的文件，所以可以用CAFEBABE将其分割为多个字节码文件。

其中有一个getHeartBeat类继承了UDFMethod，并且getAccess方法返回3，这是能够未授权访问的关键。

web.xml里面定义了.cfc后缀的路由，具体的流程不再分析，主要是在ComponentFilter类里面，大概就是解析这个cfc文件为字节码文件，然后可以指定不同的method来调用不同类的runFunction方法。

在调用之前会检查一遍权限，可以看到如果从字节码中解析出来的access为3的话就不会进行任何拦截，刚好上面的getHeartBeat类的access就为3，这就造成了未授权访问。

可以看到getHeartBeat类中runFunction方法里面的代码，调用了MonitoringService的getHeartBeat方法，事实上就是调用了继承了coldfusion.server.MonitoringService接口的类coldfusion.monitor.module.MonitoringServiceImpl的getHeartBeat方法，但很奇葩的是这个方法居然把coldfusion.monitor.Configuration的UUID给输出出来了。

这个UUID有什么用呢，PMSGenericServlet这个servlet里面用到了。

可以看到如果需要访问这个servlet需要验证头部中的uuid是否和枚举类Configuration中的 UUID一致，通过上面拿到的UUID就可以访问到这个servlet

这个servlet里面危害稍微大一点的就是当module为logging时候的任意文件读取：

或者为heap_dump时候可以下载heapdump

有意思的是这里username参数可控，filename可以被00截断，不过目前没有想到当heapdump的文件位置和文件名完全可控的时候rce的姿势。

留图纪念