CVE-2023-26359
Adobe ColdFusion Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2023-26359 ist eine kritische Deserialisierungs-Schwachstelle in Adobe ColdFusion, die eine beliebige Codeausführung im Kontext des aktuellen Benutzers ermöglicht. Betroffen sind Adobe ColdFusion 2018 Update 15 (und früher) sowie ColdFusion 2021 Update 5 (und früher). Durch die Ausnutzung dieser Schwachstelle vom Typ Deserialization of Untrusted Data kann ein Angreifer ohne Benutzerinteraktion beliebigen Code auf dem Server ausführen und damit die vollständige Kontrolle über das betroffene System erlangen. Die CISA hat CVE-2023-26359 in ihren KEV-Katalog aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 84,7 % stellt diese Adobe ColdFusion-Schwachstelle ein extremes Sicherheitsrisiko dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | coldfusion | 2018; 2021 |
Referenzen
- https://helpx.adobe.com/security/products/coldfusion/apsb23-25.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-26359(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
Bei CVE-2023-26359 verarbeitet Adobe ColdFusion nicht vertrauenswürdige Daten durch unsichere Deserialisierung. Wenn eine Anwendung serialisierte Objekte aus nicht vertrauenswürdigen Quellen entgegennimmt und deserialisiert, ohne deren Inhalt angemessen zu validieren, können Angreifer manipulierte Objekte einschleusen, die bei der Deserialisierung beliebigen Code ausführen.
Mehr erfahren: CWE-502 — Deserialization of Untrusted Data
Auswirkungsanalyse
CVE-2023-26359 in Adobe ColdFusion erreicht mit einem CVSS-Score von 9.8 die höchste Schweregradkategorie CRITICAL und stellt ein extremes Risiko für betroffene Systeme dar. Angriffsvektor (Netzwerk): Die Schwachstelle ist aus der Ferne über das Netzwerk ausnutzbar, ohne dass physischer Zugang zum Server erforderlich ist. Angriffskomplexität (Niedrig): Die Ausnutzung erfordert keine besonderen Bedingungen oder spezielles Wissen. Keine Authentifizierung erforderlich: Ein Angreifer benötigt keinerlei gültige Zugangsdaten. Keine Benutzerinteraktion erforderlich: Der Angriff erfolgt vollständig ohne Zutun eines Benutzers. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Ein erfolgreicher Angriff ermöglicht das vollständige Auslesen sensibler Daten, die Manipulation von Systemdateien und die Störung der Systemverfügbarkeit — effektiv eine vollständige Kompromittierung des Servers. Der EPSS-Score von 84,7 % (99. Perzentil) bestätigt die extrem hohe Wahrscheinlichkeit aktiver Ausnutzung dieser Adobe ColdFusion-Schwachstelle.
Exploit-Reifegrad
CVE-2023-26359 wird aktiv in freier Wildbahn ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog bestätigt. Der EPSS-Score von 84,7 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivität hin, was diese Schwachstelle zu einem der dringendsten Sicherheitsrisiken für Adobe ColdFusion-Installationen macht. Obwohl in den verfügbaren Referenzen keine öffentlichen Exploit-Codes direkt verlinkt sind, lässt die aktive Ausnutzung auf die Verfügbarkeit funktionsfähiger Angriffswerkzeuge schließen. Die Kombination aus fehlender Authentifizierungsanforderung und der Möglichkeit zur beliebigen Codeausführung macht CVE-2023-26359 besonders attraktiv für automatisierte Angriffskampagnen.
Behebung
- Herstellerempfehlung umsetzen: Gemäß der CISA KEV-Anforderung (Frist: 11.09.2023) sind die Maßnahmen des Herstellers umzusetzen oder das Produkt außer Betrieb zu nehmen. Adobe stellt Sicherheitsupdates über das Security Bulletin APSB23-25 bereit.
- Adobe ColdFusion aktualisieren: Aktualisieren Sie ColdFusion 2018 auf mindestens Update 16 und ColdFusion 2021 auf mindestens Update 6, um die Deserialisierungs-Schwachstelle zu beheben.
- Eingehende Daten validieren: Implementieren Sie serverseitige Eingabevalidierung und Whitelisting für deserialisierte Objekte. Beschränken Sie die Klassen, die deserialisiert werden dürfen, auf ein Minimum und blockieren Sie bekannte gefährliche Klassen.
- Netzwerkzugriff einschränken und überwachen: Beschränken Sie den externen Zugriff auf ColdFusion-Administrator-Oberflächen durch Firewall-Regeln und Web Application Firewalls (WAF). Überwachen Sie Serverprotokolle auf verdächtige Deserialisierungsmuster und ungewöhnliche Prozessausführungen.
- Sicherheitshärtung durchführen: Konfigurieren Sie ColdFusion gemäß den Adobe-Sicherheitsrichtlinien, deaktivieren Sie nicht benötigte Dienste und führen Sie den ColdFusion-Dienst mit minimalen Berechtigungen aus.
Technische Details
CVE-2023-26359 basiert auf einer unsicheren Deserialisierung nicht vertrauenswürdiger Daten (CWE-502) in Adobe ColdFusion. Die Schwachstelle entsteht, wenn ColdFusion serialisierte Objekte verarbeitet, ohne deren Inhalt vor der Deserialisierung ausreichend zu validieren. Ein Angreifer kann über das Netzwerk (CVSS-Vektor AV:N) speziell präparierte serialisierte Objekte an den Server senden, die bei der Deserialisierung beliebigen Code im Kontext des ColdFusion-Dienstbenutzers ausführen. Da keine Authentifizierung (PR:N), keine besondere Angriffskomplexität (AC:L) und keine Benutzerinteraktion (UI:N) erforderlich sind, ist die Schwachstelle trivial ausnutzbar. Die vollständige Kompromittierung aller drei Sicherheitsziele — Vertraulichkeit, Integrität und Verfügbarkeit (C:H/I:H/A:H) — macht deutlich, dass ein erfolgreicher Angriff die vollständige Kontrolle über den betroffenen Server ermöglicht.
Häufig gestellte Fragen
Wird CVE-2023-26359 aktiv ausgenutzt?
Ja, CVE-2023-26359 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Der EPSS-Score von 84,7 % im 99. Perzentil bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2023-26359 betroffen?
Betroffen sind Adobe ColdFusion 2018 Update 15 und frühere Versionen sowie Adobe ColdFusion 2021 Update 5 und frühere Versionen. Beide Produktlinien sind durch die Deserialisierungs-Schwachstelle gefährdet und müssen auf die jeweils neuesten Sicherheitsupdates aktualisiert werden.
Wie behebe ich CVE-2023-26359?
Aktualisieren Sie Adobe ColdFusion umgehend auf die neueste verfügbare Version gemäß dem Security Bulletin APSB23-25. Zusätzlich sollten Sie den Netzwerkzugriff auf ColdFusion einschränken, eine WAF einsetzen und die Deserialisierungskonfiguration härten.
Wie schwerwiegend ist CVE-2023-26359?
CVE-2023-26359 ist mit einem CVSS-Score von 9.8 als CRITICAL eingestuft und ermöglicht unauthentifizierte Remote-Codeausführung. Mit einem EPSS-Score im 99. Perzentil gehört sie zu den am häufigsten ausgenutzten Schwachstellen, was sofortiges Handeln erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.