Adobe ColdFusion ist eine fortschrittliche kommerzielle Plattform, die häufig für die Entwicklung und Bereitstellung von Webanwendungen verwendet wird. Die Versionen 2016 Update 3 und früher, 11 Update 11 und früher sowie 10 Update 22 und früher enthalten eine schwerwiegende Sicherheitslücke, die es nicht authentifizierten Remote-Angreifern ermöglicht, beliebigen Code auf dem zugrunde liegenden Server auszuführen.

Produkt	ColdFusion
Datum	10.04.2025 08:34:04
Informationen	Fix verfügbar Aktive Ausnutzung

Technische Zusammenfassung

Der Kern dieser Schwachstelle liegt in der unsicheren Deserialisierung von Java-Objekten innerhalb der Apache BlazeDS-Bibliothek, die in den anfälligen Versionen von Adobe ColdFusion enthalten ist. Java-Deserialisierung ist der Prozess der Umwandlung eines Byte-Streams in ein Java-Objekt. Wenn dieser Prozess auf nicht vertrauenswürdigen oder manipulierten Daten ohne ordnungsgemäße Validierung ausgeführt wird, kann dies zur Instanziierung beliebiger Klassen führen, die sich im Classpath des Servers befinden.

Angreifer können diese Schwachstelle ausnutzen, indem sie bösartige serialisierte Java-Objekte erstellen und diese an ColdFusion-Endpunkte senden, die BlazeDS für die Datenverarbeitung verwenden. Wenn ColdFusion versucht, diese manipulierten Objekte zu deserialisieren, kann es dazu gezwungen werden, beliebigen Java-Code zu instanziieren und auszuführen. Dies ermöglicht es einem nicht authentifizierten Remote-Angreifer, die vollständige Kontrolle über den betroffenen ColdFusion-Server zu erlangen.

Empfehlungen

Um diese schwerwiegende Schwachstelle zur Remote-Codeausführung effektiv anzugehen und zu entschärfen, sollten Administratoren umgehend die folgenden Maßnahmen ergreifen:

• Adobe ColdFusion aktualisieren: Aktualisieren Sie auf eine Version, die den Fix für diese CVE enthält. Das bedeutet ein Update auf:

  • ColdFusion 2016 Update 4 oder neuer
  • ColdFusion 11 Update 12 oder neuer
  • ColdFusion 10 Update 23 oder neuer

• Offizielle Patches anwenden: Stellen Sie sicher, dass alle von Adobe für die installierte ColdFusion-Version bereitgestellten Hotfixes und Sicherheitsupdates zeitnah angewendet werden. Auch wenn ein vollständiges Update nicht sofort möglich ist, ist es entscheidend, den spezifischen Patch anzuwenden, der CVE-2017-3066 behebt.

• Verdächtige Aktivitäten überwachen: Überwachen Sie die ColdFusion-Serverprotokolle und den Netzwerkverkehr sorgfältig, um mögliche Ausnutzungsversuche zu identifizieren, wie z. B. anomale Anfragen oder die Ausführung unerwarteter Prozesse.

[Callforaction-THREAT-Footer]