🇰🇷 한글 설명
ColdFusion의 특정 버전에서 XML 외부 엔티티 참조(XXE) 제한이 부적절하게 이루어지는 취약점이 발견되었습니다. 공격자는 이를 악용하여 서버의 민감한 파일을 임의로 읽을 수 있습니다. 이 취약점은 사용자 상호작용 없이도 발생할 수 있으며 공격 범위가 변경될 수 있습니다.
💡 쉬운 설명
웹사이트가 XML 데이터를 처리할 때 외부 파일을 불러오는 기능을 제대로 막지 못하는 문제입니다. 이를 통해 해커가 서버 안에 저장된 중요한 문서나 설정 파일을 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an Improper Restriction of XML External Entity Reference ('XXE') vulnerability that could lead to arbitrary file system read. An attacker could exploit this vulnerability to access sensitive files and data on the server. Exploit depends on conditions beyond the attacker's control. Exploitation of this issue does not require user interaction and scope is changed.
📍 영향받는 시스템
ColdFusion 2025.4, 2023.16, 2021.22 및 이전 모든 버전
⚔️ 공격 벡터
조작된 XML 데이터를 서버로 전송하여 서버 내부의 파일을 읽어내는 방식
🛡️ 대응 방법
ColdFusion을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 경로 내의 파일 정보나 설치된 ColdFusion의 버전을 확인하여 취약 버전 여부를 판단합니다.
grep -r "ColdFusion" /opt/coldfusion/cfusion/lib/ 2>/dev/null || echo 'ColdFusion not found'