CVE-2017-3066
Adobe ColdFusion Deserialization Vulnerability
Beschreibung
CVE-2017-3066 ist eine kritische Sicherheitslücke (CVSS 9.8 CRITICAL) in Adobe ColdFusion, die durch eine Java-Deserialisierungsschwachstelle in der Apache BlazeDS-Bibliothek verursacht wird. Betroffen sind ColdFusion 2016 Update 3 und älter, ColdFusion 11 Update 11 und älter sowie ColdFusion 10 Update 22 und älter. Die erfolgreiche Ausnutzung ermöglicht beliebige Codeausführung auf dem Zielsystem. Mit einem EPSS-Score von 0.93362 (99.8. Perzentil) und der Aufnahme in den CISA KEV-Katalog ist die aktive Ausnutzung praktisch sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | coldfusion | 10.0; 11.0; 2016 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/98003(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038364(Broken Link, Third Party Advisory, VDB Entry)
- https://helpx.adobe.com/security/products/coldfusion/apsb17-14.html(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/43993/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-3066(US Government Resource)
Schwachstellentyp
Java-Deserialisierungsschwachstelle
Die Schwachstelle basiert auf einer unsicheren Java-Deserialisierung in der Apache BlazeDS-Bibliothek, die in Adobe ColdFusion eingebettet ist. Bei der Deserialisierung werden serialisierte Java-Objekte wieder in den Speicher geladen. Wenn die Eingabedaten nicht ordnungsgemäß validiert werden, kann ein Angreifer manipulierte serialisierte Objekte senden, die bei der Verarbeitung beliebigen Code ausführen. Diese Art von Schwachstelle ist besonders gefährlich, da sie häufig ohne Authentifizierung ausgenutzt werden kann und direkt zu Remote Code Execution führt. Mehr erfahren: CWE-502 auf MITRE
Auswirkungsanalyse
Adobe ColdFusion ist eine weit verbreitete Webapplikationsplattform, die in Unternehmensumgebungen für dynamische Webanwendungen, Intranets und API-Backend-Services eingesetzt wird. Vertraulichkeit (C:H) — Ein Angreifer kann nach erfolgreicher Code-Ausführung sämtliche auf dem Server gespeicherten Daten auslesen, einschließlich Datenbank-Credentials, Konfigurationsdateien und Benutzerdaten. Integrität (I:H) — Beliebige Codeausführung ermöglicht die Manipulation von Webanwendungen, das Einschleusen von Backdoors und die Veränderung von Geschäftsdaten. Verfügbarkeit (A:H) — Der Angreifer kann den Server vollständig übernehmen, Dienste stoppen oder für Kryptomining missbrauchen. Der extrem hohe EPSS-Score von 93.36% (99.8. Perzentil) bedeutet, dass diese Schwachstelle nahezu sicher aktiv ausgenutzt wird. Es existiert ein öffentlich verfügbarer Exploit auf Exploit-DB, was die Einstiegshürde für Angreifer drastisch senkt. Obwohl der Ransomware-Status als "Unknown" geführt wird, ist die vollständige Serverübernahme ein ideales Einfallstor für Ransomware-Angriffe.
Exploit-Reifegrad
CVE-2017-3066 befindet sich im CISA KEV-Katalog mit einer Behebungsfrist bis zum 17. März 2025. Der EPSS-Score von 0.93362 im 99.8. Perzentil kennzeichnet diese Schwachstelle als eine der am wahrscheinlichsten ausgenutzten Vulnerabilitäten überhaupt. Besonders besorgniserregend ist die Verfügbarkeit eines öffentlichen Exploits auf Exploit-DB (43993), der die Ausnutzung auch für weniger versierte Angreifer ermöglicht. Die fehlende Notwendigkeit jeglicher Authentifizierung (PR:N) und Benutzerinteraktion (UI:N) in Kombination mit der niedrigen Angriffskomplexität (AC:L) machen diese Schwachstelle trivial ausnutzbar. Trotz des Alters der Schwachstelle (2017) sind nach wie vor verwundbare ColdFusion-Installationen im Internet zu finden, was sie zu einem dauerhaften Ziel macht. Der Ransomware-Status ist als "Unknown" klassifiziert.
Behebung
-
Adobe ColdFusion aktualisieren — Installieren Sie umgehend die gepatchte Version von Adobe ColdFusion. Für ColdFusion 2016 ist mindestens Update 4, für ColdFusion 11 mindestens Update 12 und für ColdFusion 10 mindestens Update 23 erforderlich. Beachten Sie das Adobe Security Bulletin APSB17-14.
-
Ende-des-Lebenszyklus-Versionen migrieren — ColdFusion 10 und 11 haben ihr End-of-Life erreicht und erhalten keine Sicherheitsupdates mehr. Planen Sie die Migration auf eine aktuell unterstützte Version (ColdFusion 2021 oder 2023).
-
BlazeDS-Endpunkte deaktivieren — Falls BlazeDS/AMF-Remoting nicht benötigt wird, deaktivieren Sie die entsprechenden Servlets und Endpunkte in der ColdFusion-Konfiguration, um die Angriffsfläche zu reduzieren.
-
Web Application Firewall einsetzen — Implementieren Sie WAF-Regeln, die serialisierte Java-Objekte in eingehenden HTTP-Anfragen erkennen und blockieren, insbesondere an BlazeDS/AMF-Endpunkten.
-
Kompromittierungsindikatoren prüfen — Untersuchen Sie ColdFusion-Server auf Anzeichen einer Kompromittierung, darunter unbekannte Dateien im Webroot, verdächtige Prozesse und ausgehende Netzwerkverbindungen.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt eine maximal kritische Schwachstelle. Angriffsvektor (AV:N) — Die Ausnutzung erfolgt remote über das Netzwerk, typischerweise über HTTP/HTTPS-Anfragen an BlazeDS-Endpunkte. Angriffskomplexität (AC:L) — Keine speziellen Vorbedingungen erforderlich; der öffentlich verfügbare Exploit vereinfacht die Ausnutzung erheblich. Erforderliche Berechtigungen (PR:N) — Keine Authentifizierung notwendig, jeder mit Netzwerkzugriff kann die Schwachstelle ausnutzen. Benutzerinteraktion (UI:N) — Keine Benutzerinteraktion erforderlich, vollständig automatisierbar. Scope (S:U) — Auswirkungen auf das betroffene System beschränkt. Auswirkungen — Maximale Bewertung in allen drei Kategorien (C:H, I:H, A:H), was einer vollständigen Systemübernahme entspricht. Der Angriffsmechanismus nutzt die Apache BlazeDS-Bibliothek aus, die AMF (Action Message Format)-Nachrichten für die Kommunikation zwischen Flash/Flex-Clients und Java-Servern verarbeitet. Ein Angreifer sendet ein speziell präpariertes serialisiertes Java-Objekt an einen BlazeDS-Endpunkt. Die Bibliothek deserialisiert das Objekt ohne ausreichende Validierung, wodurch der eingebettete Schadcode ausgeführt wird. Dies führt zu Remote Code Execution mit den Berechtigungen des ColdFusion-Dienstkontos.
Häufig gestellte Fragen
Was ist CVE-2017-3066?
CVE-2017-3066 ist eine kritische Java-Deserialisierungsschwachstelle in der Apache BlazeDS-Bibliothek, die in Adobe ColdFusion integriert ist. Sie ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code auf dem ColdFusion-Server auszuführen, ohne dass eine Benutzerinteraktion erforderlich ist.
Welche ColdFusion-Versionen sind betroffen?
Betroffen sind Adobe ColdFusion 2016 Update 3 und älter, ColdFusion 11 Update 11 und älter sowie ColdFusion 10 Update 22 und älter. Da ColdFusion 10 und 11 ihr End-of-Life erreicht haben, wird dringend eine Migration auf eine aktuelle Version empfohlen.
Warum ist CVE-2017-3066 trotz des Alters noch relevant?
Obwohl die Schwachstelle bereits 2017 veröffentlicht wurde, existieren noch immer verwundbare ColdFusion-Installationen. Der extrem hohe EPSS-Score von 93.4% und ein öffentlich verfügbarer Exploit machen sie zu einem dauerhaften Ziel. Die CISA hat sie 2025 erneut in den KEV-Katalog aufgenommen.
Wie kann ich prüfen, ob mein ColdFusion-Server verwundbar ist?
Prüfen Sie die installierte ColdFusion-Version im Administrator-Panel. Wenn Sie eine der betroffenen Versionen verwenden und BlazeDS/AMF-Endpunkte erreichbar sind, ist Ihr System verwundbar. Nutzen Sie zudem Vulnerability-Scanner, die speziell nach Deserialisierungsschwachstellen suchen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.