2023-2833: Adobe ColdFusion: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2023-11-15 09:42)

Neues Advisory

Betroffene Software

Entwicklung

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen, in einem Fall als Folge eines Cross-Site-Scripting (XSS)-Angriffs.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung einer Schwachstelle (CVE-2023-44352) kann Einfluss auf andere Komponenten haben. Adobe bewertet drei der Schwachstellen als kritisch.

Adobe veröffentlicht die ColdFusion Versionen 2023 Update 6 und 2021 Update 12 als Sicherheitsupdates, um die aufgeführten Schwachstellen zu beheben. Wie üblich weist Adobe darauf hin, dass für eine umfängliche Absicherung des Servers neben dem ColdFusion Update auch eine Aktualisierung des Java Development Kits (JDK) bzw. Java Runtime Environments (JRE) auf die letzte verfügbare Version erfolgen muss.

Zusätzlich empfiehlt der Hersteller weiterhin auch die Umsetzung der Sicherheitskonfigurationsempfehlungen, die über die ColdFusion Security Seite verfügbar sind, sowie eine Überprüfung der in der Sicherheitsmeldung referenzierten versionsspezifischen Lockdown Guides.

Schwachstellen:

CVE-2023-26347

Schwachstelle in Adobe ColdFusion ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2023-44350 CVE-2023-44351 CVE-2023-44353

Schwachstellen in Adobe ColdFusion ermöglichen Ausführen beliebigen Programmcodes

CVE-2023-44352

Schwachstelle in Adobe ColdFusion ermöglicht Cross-Site-Scripting-Angriff

CVE-2023-44355

Schwachstelle in Adobe ColdFusion ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.