Adobe släpper nödpatch för ColdFusion-sårbarhet

Adobe har släppt en patch för att åtgärda tre sårbarheter som finns i deras ColdFusion kommersiella datorplattform för snabb utveckling av webbapplikationer. Av de tre sårbarheterna är en en nolldag, medan en annan exploaterades aktivt i naturen.

Enligt en rapport om BleepingComputer, spåras de tre sårbarheterna i fråga som CVE-2023-38204 (kritisk RCE med en 9.8 allvarlighetsgrad), CVE-2023-38205 (kritisk felaktig åtkomstkontroll med en allvarlighetsgrad på 7.8) och CEV-2023-38206 (måttlig felaktig Åtkomstkontroll med en allvarlighetsgrad på 5.3).

Trots att CVE-2023-38204 är kritisk, är det inte den som används av hackare. Det är CVE-2023-38205, den kritiska felaktig åtkomstkontroll som Adobe såg utnyttjas av hotaktörer.

Adressering av en bypass

"Adobe är medvetet om att CVE-2023-38205 har utnyttjats i det vilda i begränsade attacker riktade mot Adobe ColdFusion", sa företaget i en säkerhetsrådgivning.

CVE-2023-38205-felet är en patchbypass för korrigeringen för CVE-2023-29298, BleepingComputer förklaras ytterligare. Detta är en ColdFusion-autentiseringsbypass som upptäcktes av Rapid7 för två veckor sedan.

I mitten av juli såg cybersäkerhetsforskare från Rapid7 hur hotaktörer använde flera sårbarheter för att installera webbskal på ColdFusions servrar. Dessa webbskal gav dem fjärråtkomst till sårbara slutpunkter. Även om Adobe var snabb med att släppa en patch, sa Rapid7 att det kunde lösas:

"Rapid7-forskare fastställde måndagen den 17 juli att fixen som Adobe tillhandahöll för CVE-2023-29298 den 11 juli är ofullständig och att en trivialt modifierad exploit fortfarande fungerar mot den senaste versionen av ColdFusion (släpptes den 14 juli)", sa forskarna .

"Vi har meddelat Adobe att deras patch är ofullständig."

Nu bekräftade Adobe för media att det inkluderade en fix för CVE-2023-29298 i sin senaste patch.

Med tanke på det faktum att företaget observerade felet som används av hackare, rekommenderas användare starkt att korrigera sina slutpunkter omedelbart.

via: BleepingComputer

Källa