Aktywnie wykorzystywana w atakach
Adobe ColdFusion Deserialization of Untrusted Data Vulnerability
Adobe - ColdFusion · Figuruje w katalogu CISA KEV od 2023-08-21. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2023-26359
KrytyczneCVSS 9.8KEVStreszczenie
Adobe ColdFusion w wersjach 2018 Update 15 i wcześniejszych oraz 2021 Update 5 i wcześniejszych jest podatny na deserializację niezaufanych danych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze ColdFusion bez interakcji użytkownika, co może skutkować pełnym przejęciem systemu.
Rekomendacja
Zaktualizuj Adobe ColdFusion do najnowszej wersji zawierającej poprawki bezpieczeństwa, wykraczającej poza 2018 Update 15 i 2021 Update 5.
Inne podatności w Adobe ColdFusion
Zobacz wszystkie- CVE-2016-4264Wysokie
Funkcja Office Open XML (OOXML) w Adobe ColdFusion 10 przed aktualizacją 21 oraz 11 przed aktualizacją 10 pozwala zdalnym atakującym na odczyt dowolnych plików lub wysyłanie żądań TCP do serwerów intranetowych poprzez spreparowany arkusz kalkulacyjny OOXML zawierający deklarację zewnętrznego bytu w połączeniu z odniesieniem do bytu, co jest związane z problemem XML External Entity (XXE).
- CVE-2023-38205WysokieAktywnie exploitowane
Podatność typu Improper Access Control w Adobe ColdFusion w wersjach 2018u18 i wcześniejszych, 2021u8 i wcześniejszych oraz 2023u2 i wcześniejszych. Atakujący może uzyskać dostęp do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2023-38203KrytyczneAktywnie exploitowane
Wersje Adobe ColdFusion 2018u17 (i wcześniejsze), 2021u7 (i wcześniejsze) oraz 2023u1 (i wcześniejsze) są podatne na lukę w deserializacji niezaufanych danych, co może prowadzić do wykonania dowolnego kodu. Wykorzystanie tej luki nie wymaga interakcji użytkownika.
- CVE-2023-29300KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych w Adobe ColdFusion w wersjach 2018u16 i wcześniejszych, 2021u6 i wcześniejszych oraz 2023.0.0.330468 i wcześniejszych. Może prowadzić do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2023-29298WysokieAktywnie exploitowane
Adobe ColdFusion w wersjach 2018u16 (i wcześniejszych), 2021u6 (i wcześniejszych) oraz 2023.0.0.330468 (i wcześniejszych) jest podatny na lukę niewłaściwej kontroli dostępu, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę lukę do uzyskania dostępu do administracyjnych punktów końcowych CFM i CFC. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2018-15961KrytyczneAktywnie exploitowane
Adobe ColdFusion w wersji z lipca 2018 (2018.0.0.310739), Update 6 i wcześniejszych oraz Update 14 i wcześniejszych zawiera podatność na nieograniczone przesyłanie plików. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
- CVE-2018-4939KrytyczneAktywnie exploitowane
Adobe ColdFusion Update 5 i wcześniejsze oraz ColdFusion 11 Update 13 i wcześniejsze zawierają podatność na deserializację niezaufanych danych. Udana eksploatacja może prowadzić do wykonania dowolnego kodu.
- CVE-2017-11284Krytyczne
Adobe ColdFusion posiada podatność na nieufną deserializację danych. Dotyczy to aktualizacji 4 i wcześniejszych wersji ColdFusion 2016 oraz aktualizacji 12 i wcześniejszych wersji ColdFusion 11.
- CVE-2016-1114Krytyczne
Adobe ColdFusion w wersjach 10 przed aktualizacją 19, 11 przed aktualizacją 8 oraz 2016 przed aktualizacją 1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z biblioteką Apache Commons Collections.
- CVE-2026-76190Wysokie
ColdFusion jest dotknięty podatnością typu Eval Injection (niewłaściwa neutralizacja dyrektyw w dynamicznie ocenianym kodzie), która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Wykorzystanie nie wymaga interakcji użytkownika. Zakres (scope) został zmieniony.
Oryginalny opis (angielski, źródło NVD)
Adobe ColdFusion versions 2018 Update 15 (and earlier) and 2021 Update 5 (and earlier) are affected by a Deserialization of Untrusted Data vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction.