1734988934
2024-12-23 19:58:00
Adobe は、概念実証 (PoC) エクスプロイト コードによる ColdFusion の重大な脆弱性に対処するためのアウトオブバンド セキュリティ アップデートをリリースしました。
月曜日にリリースされたアドバイザリの中で、同社は、この欠陥（CVE-2024-53961として追跡）は、 パストラバーサル この脆弱性は Adobe ColdFusion バージョン 2023 および 2021 に影響し、攻撃者が脆弱なサーバー上の任意のファイルを読み取ることができる可能性があります。
「Adobe は、CVE-2024-53961 には任意のファイル システムの読み取りを引き起こす可能性がある既知の概念実証があることを認識しています。」 今日言った一方で、「特定の製品バージョンとプラットフォームで悪用される可能性がより高い」ため、この欠陥に重大度「優先度 1」を割り当てたと顧客に警告した。
同社は管理者に対し、本日の緊急セキュリティパッチ (ColdFusion 2021 Update 18 および ColdFusion 2023 Update 12) をできるだけ早く (たとえば 72 時間以内に) インストールし、「 ColdFusion 2023 そして ColdFusion 2021 ロックダウンガイド。
Adobe はこの脆弱性が悪用されたかどうかをまだ明らかにしていませんが、本日顧客に対し次のようにアドバイスしました。 更新されたシリアル フィルターのドキュメントを確認してください。 安全でない Wddx デシリアライゼーション攻撃のブロックの詳細については、こちらをご覧ください。
CISAが5月にソフトウェア会社に対し、製品を出荷する前にパストラバーサルのセキュリティバグを取り除くよう求めた際に警告したように、攻撃者はこのような脆弱性を悪用して、既存のアカウントをブルートフォースして標的のシステムに侵入するために使用できる認証情報などの機密データにアクセスする可能性がある。 。
「ディレクトリ トラバーサルのような脆弱性は、少なくとも 2007 年以来、『許されない』と言われてきました。この発見にもかかわらず、ディレクトリ トラバーサルの脆弱性 (CWE-22 や CWE-23 など) は依然として蔓延している脆弱性のクラスです」と CISA は述べています。
昨年、2023 年 7 月にも、CISA は連邦政府機関に対し、8 月 10 日までに 2 つの重大なセキュリティ欠陥に対して Adobe ColdFusion サーバーを保護するよう命令しました (CVE-2023-29298 そして CVE-2023-38205) 攻撃に悪用され、そのうちの 1 つはゼロデイです。
米国サイバーセキュリティ庁は、2023 年 6 月以降、ハッカーが別の ColdFusion の重大な脆弱性 (CVE-2023-26360) を利用して、古い政府サーバーに侵入していたことも 1 年前に明らかにしました。同じ欠陥が、ゼロ攻撃として「非常に限定的な攻撃」で積極的に悪用されていました。 2023 年 3 月から – 日。
#AdobePoCエクスプロイトコードによるColdFusionの重大なバグを警告