2022-2250: Adobe ColdFusion: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2022-10-12 14:24): Neues Advisory

Betroffene Software

Entwicklung

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Dateien zu manipulieren, Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen. Eine weitere Schwachstelle kann ein Angreifer lokal ausnutzen, um Privilegien zu eskalieren.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich.
Insgesamt sechs der aufgeführten Schwachstellen werden von Adobe als kritisch bewertet.

Adobe veröffentlicht die ColdFusion Versionen 2018 Update 15 und 2021 Update 5, um die Schwachstellen zu beheben. Zusätzlich weist Adobe darauf hin, dass für eine umfängliche Absicherung des Servers neben dem ColdFusion Update auch eine Aktualisierung des Java Development Kits (JDK) bzw. Java Runtime Environments (JRE) auf die letzte verfügbare Version des LTS Releases für JDK 11 erfolgen muss.

Wie üblich empfiehlt der Hersteller auch die Umsetzung der Sicherheitskonfigurationsempfehlungen, die über die ColdFusion Security Seite verfügbar sind, sowie eine Überprüfung der in der Sicherheitsmeldung referenzierten versionsspezifischen Lockdown Guides.

Schwachstellen:

CVE-2022-35690 CVE-2022-35710

Schwachstellen in Adobe ColdFusion ermöglichen Ausführen beliebigen Programmcodes

CVE-2022-35711 CVE-2022-35712

Schwachstellen in Adobe ColdFusion ermöglichen Ausführen beliebigen Programmcodes

CVE-2022-38418

Schwachstelle in Adobe ColdFusion ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-38419 CVE-2022-42341

Schwachstellen in Adobe ColdFusion ermöglichen Ausspähen von Informationen

CVE-2022-38420

Schwachstelle in Adobe ColdFusion ermöglicht Privilegieneskalation

CVE-2022-38421

Schwachstelle in Adobe ColdFusion ermöglicht Ausführen beliebigen Programmcodes

CVE-2022-38422

Schwachstelle in Adobe ColdFusion ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2022-38423