به گزارش کارگروه امنیت سایبربان؛ شرکت ادوبی (Adobe) بهروزرسانیهای امنیتی خارج از باند را برای رفع آسیبپذیری حیاتی «ColdFusion» با کد سوءاستفاده اثبات-مفهوم (PoC) منتشر کرد.
ادوبی اعلام کرد که این نقص، که با نام «CVE-2024-53961» ردیابی میشود، ناشی از ضعف پیمایش مسیر است که بر نسخههای 2023 و 2021 ColdFusion تأثیر میگذارد و میتواند مهاجمان را قادر به خواندن فایلهای دلخواه در سرورهای آسیبپذیر کند.
شرکت میداند که CVE-2024-53961 دارای یک اثبات مفهوم شناخته شده است که میتواند باعث خواندن سیستم فایل دلخواه شود.
ادوبی به مدیران توصیه کرد که پچهای امنیتی اضطراری امروزی (بهروزرسانی ColdFusion 2021 18 و ColdFusion 2023 Update 12) را در اسرع وقت نصب و تنظیمات پیکربندی امنیتی را اعمال کنند که در راهنمای ColdFusion 2023 و ColdFusion 2023 و ColdFusion 202020nlock مشخص شده است.
در حالی که ادوبی هنوز فاش نکرده که آیا این آسیبپذیری در طبیعت مورد سوء استفاده قرار گرفته یا نه، به مشتریان توصیه کرد برای کسب اطلاعات بیشتر در مورد مسدود کردن حملات ناامن «Wddx deserialization» اسناد فیلتر سریال بهروز شده خود را بررسی کنند.
همانطور که سیسا در ماه می سال جاری هشدار داد، درست زمانی که از شرکتهای نرمافزار خواست تا باگهای امنیتی پیمایش مسیر را قبل از ارسال محصولات خود برطرف کنند، مهاجمان میتوانند از این آسیبپذیریها برای دسترسی به دادههای حساس، از جمله اعتبارنامههایی، استفاده کنند که برای اعمال فشار بر حسابهای موجود و نقض سیستمهای هدف کاربرد دارند.
سیسا گفت که آسیبپذیریهایی مانند پیمایش دایرکتوری حداقل از سال 2007 غیرقابل بخشش نامیده میشوند.
در ماه ژوئیه سال گذشته، سیسا به آژانسهای فدرال دستور داد تا سرورهای Adobe ColdFusion خود را تا 10 اوت در برابر 2 نقص امنیتی مهم (CVE-2023-29298 و CVE-2023-38205) ایمن کنند که در حملات مورد سوءاستفاده قرار میگیرند.
آژانس امنیت سایبری ایالات متحده همچنین یک سال پیش فاش کرد که هکرها از یک آسیبپذیری مهم دیگر ColdFusion (CVE-2023-26360) برای نفوذ به سرورهای دولتی منسوخ شده از ژوئن 2023 استفاده کردهاند. همان نقص به طور فعال در حملات بسیار محدود به عنوان روزصفر از ماه مارس سال قبل مورد سوء استفاده قرار گرفته است.
