Aktywnie wykorzystywana w atakach
Adobe ColdFusion Unrestricted File Upload Vulnerability
Adobe - ColdFusion · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2018-15961
KrytyczneCVSS 9.8KEVStreszczenie
Adobe ColdFusion w wersji z lipca 2018 (2018.0.0.310739), Update 6 i wcześniejszych oraz Update 14 i wcześniejszych zawiera podatność na nieograniczone przesyłanie plików. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
Ocena ryzyka
Podatność pozwala atakującemu na przesłanie złośliwego pliku i wykonanie dowolnego kodu, co może skutkować przejęciem serwera ColdFusion.
Rekomendacja
Zaktualizuj Adobe ColdFusion do najnowszej wersji zawierającej poprawki bezpieczeństwa. Sprawdź i ogranicz uprawnienia do przesyłania plików w konfiguracji serwera.
Inne podatności w Adobe ColdFusion
Zobacz wszystkie- CVE-2016-4264Wysokie
Funkcja Office Open XML (OOXML) w Adobe ColdFusion 10 przed aktualizacją 21 oraz 11 przed aktualizacją 10 pozwala zdalnym atakującym na odczyt dowolnych plików lub wysyłanie żądań TCP do serwerów intranetowych poprzez spreparowany arkusz kalkulacyjny OOXML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
- CVE-2023-38205WysokieAktywnie exploitowane
Podatność typu Improper Access Control w Adobe ColdFusion w wersjach 2018u18 i wcześniejszych, 2021u8 i wcześniejszych oraz 2023u2 i wcześniejszych. Atakujący może uzyskać dostęp do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-38203KrytyczneAktywnie exploitowane
Wersje Adobe ColdFusion 2018u17 (i wcześniejsze), 2021u7 (i wcześniejsze) oraz 2023u1 (i wcześniejsze) są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu. Wykorzystanie tej luki nie wymaga interakcji użytkownika.
- CVE-2023-29300KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych w Adobe ColdFusion w wersjach 2018u16 i wcześniejszych, 2021u6 i wcześniejszych oraz 2023.0.0.330468 i wcześniejszych. Może prowadzić do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2023-29298WysokieAktywnie exploitowane
Adobe ColdFusion w wersjach 2018u16 (i wcześniejszych), 2021u6 (i wcześniejszych) oraz 2023.0.0.330468 (i wcześniejszych) jest podatny na lukę niewłaściwej kontroli dostępu, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę lukę do uzyskania dostępu do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-26360WysokieAktywnie exploitowane
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych zawiera podatność niewłaściwej kontroli dostępu, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-26359KrytyczneAktywnie exploitowane
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych jest podatny na deserializację niezaufanych danych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2018-4939KrytyczneAktywnie exploitowane
Adobe ColdFusion Update 5 i wcześniejsze oraz ColdFusion 11 Update 13 i wcześniejsze zawierają podatność na deserializację niezaufanych danych. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
- CVE-2017-11284Krytyczne
Adobe ColdFusion posiada podatność na nieufną deserializację danych. Dotyczy to aktualizacji 4 i wcześniejszych wersji ColdFusion 2016 oraz aktualizacji 12 i wcześniejszych wersji ColdFusion 11.
- CVE-2016-1114Krytyczne
Adobe ColdFusion w wersjach 10 przed aktualizacją 19, 11 przed aktualizacją 8 oraz 2016 przed aktualizacją 1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z biblioteką Apache Commons Collections.
Oryginalny opis (angielski, źródło NVD)
Adobe ColdFusion versions July 12 release (2018.0.0.310739), Update 6 and earlier, and Update 14 and earlier have an unrestricted file upload vulnerability. Successful exploitation could lead to arbitrary code execution.