Adobe пришлось выпустить внеплановые обновления безопасности, чтобы устранить критическую уязвимость ColdFusion с кодом эксплойта Proof-of-Concept (PoC). Она вызвана уязвимостью обхода пути, которая влияет на ColdFusion версий 2023 и 2021 и может позволить злоумышленникам читать произвольные файлы на серверах.
«Adobe знает, что CVE-2024-53961 имеет известную проверку концепции, которая может вызвать произвольное чтение файловой системы», — заявили в Adobe, а также предупредили клиентов, что присвоили уязвимости уровень серьёзности «Приоритет 1», поскольку она имеет «более высокий риск стать целью эксплойта(ов) в реальных условиях для данной версии продукта и платформы».
Компания рекомендует администраторам как можно скорее установить экстренные исправления безопасности (ColdFusion 2021 Update 18 и ColdFusion 2023 Update 12), «например, в течение 72 часов», и применить параметры конфигурации безопасности, описанные в руководствах по блокировке ColdFusion 2023 и ColdFusion 2021.
Хотя Adobe ещё не раскрыла, была ли эта уязвимость использована в реальных условиях, она рекомендовала клиентам ознакомиться с обновлённой документацией по последовательному фильтру для получения дополнительной информации о блокировке небезопасных атак десериализации Wddx.
Ещё в мае CISA призывало компании-разработчики программного обеспечения устранять ошибки безопасности обхода пути перед отправкой своих продуктов, поскольку злоумышленники могут использовать их для доступа к конфиденциальным данным, включая учётные.
В июле Cloudflare выпустила регулярный отчёт о трафике, который её система доставки контента обработала с 1 апреля 2023 года по 31 марта 2024 года. Компания отметила, что за этот период доля вредоносного или мусорного HTTP-трафика увеличилась с 6% до 6,8%, а в пиковые дни его объём достигал 12%. Самыми активными за этот период стали попытки эксплуатации уязвимостей в Apache Struts (CVE-2023-50164), Apache Spark (CVE-2022-33891), Adobe Coldfusion (CVE-2023-29298, CVE-2023-38203, CVE-2023-26360) и MobileIron (CVE-2023-35082).
В прошлом году CISA также указала федеральным агентствам США на необходимость защитить свои серверы Adobe ColdFusion от двух критических CVE, которые использовались в атаках, в том числе связанных с уязвимостями нулевого дня.
Агентство по кибербезопасности США в 2023 году сообщило, что хакеры использовали другую критическую уязвимость ColdFusion (CVE-2023-26360) для взлома устаревших правительственных серверов.
Источник новости: habr.com
