2023-1670: Adobe ColdFusion: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2023-07-20 11:28): Neues Advisory

Betroffene Software

Entwicklung

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Der Hersteller weist darauf hin, dass die Schwachstelle CVE-2023-38205 in begrenztem Umfang bereits aktiv ausgenutzt wird.

Adobe veröffentlicht die ColdFusion Versionen 2018 Update 19, 2021 Update 9 und 2023 Update 3 als Sicherheitsupdates, um die aufgeführten Schwachstellen zu beheben. Zusätzlich weist Adobe wie üblich darauf hin, dass für eine umfängliche Absicherung des Servers neben dem ColdFusion Update auch eine Aktualisierung des Java Development Kits (JDK) bzw. Java Runtime Environments (JRE) auf die letzte verfügbare Version des jeweiligen LTS Releases erfolgen muss.

Zusätzlich empfiehlt der Hersteller, ebenfalls wie üblich, auch die Umsetzung der Sicherheitskonfigurationsempfehlungen, die über die ColdFusion Security Seite verfügbar sind, sowie eine Überprüfung der in der Sicherheitsmeldung referenzierten versionsspezifischen Lockdown Guides.

Schwachstellen:

CVE-2023-38204

Schwachstelle in Adobe ColdFusion ermöglicht Ausführen beliebigen Programmcodes

CVE-2023-38205

Schwachstelle in Adobe ColdFusion ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2023-38206