CVE-2023-26360
Adobe ColdFusion Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2023-26360 ist eine schwerwiegende Schwachstelle vom Typ Improper Access Control in Adobe ColdFusion, die es einem nicht authentifizierten Angreifer ermöglicht, beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Betroffen sind Adobe ColdFusion 2018 Update 15 und älter sowie ColdFusion 2021 Update 5 und älter. Die Schwachstelle wurde mit einem CVSS-Score von 8,6 (HIGH) bewertet und erfordert weder Authentifizierung noch Benutzerinteraktion. Der Scope ist als Changed klassifiziert, was bedeutet, dass die Auswirkungen über die verwundbare Komponente hinausgehen können. Die CISA hat CVE-2023-26360 in den KEV-Katalog aufgenommen und eine Behebungsfrist bis zum 5. April 2023 festgelegt. Der EPSS-Score von 94,33 % (Perzentile: 99,95 %) belegt die extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | coldfusion | 2018; 2021 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172079/Adobe-ColdFusion-Unauthenticated-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://helpx.adobe.com/security/products/coldfusion/apsb23-25.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-26360(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-284: Improper Access Control
CVE-2023-26360 ist der Schwachstellenklasse CWE-284: Improper Access Control zugeordnet. Diese Klasse umfasst Schwachstellen, bei denen ein System Zugriffsrechte nicht korrekt durchsetzt, sodass Angreifer auf Ressourcen oder Funktionen zugreifen können, die ihnen eigentlich nicht zugänglich sein sollten.
Im Fall von CVE-2023-26360 fehlen in Adobe ColdFusion ausreichende Zugriffskontrollen, die verhindern würden, dass nicht authentifizierte Benutzer bestimmte Endpunkte oder Funktionen aufrufen. Dadurch kann ein Angreifer ohne jegliche Anmeldedaten über das Netzwerk auf verwundbare ColdFusion-Instanzen zugreifen und beliebigen Code im Kontext des aktuellen Benutzers ausführen. Die unzureichende Zugriffskontrolle bildet damit die Grundlage für die Remote Code Execution.
Auswirkungsanalyse
Vertraulichkeit (Hoch): CVE-2023-26360 ermöglicht einem nicht authentifizierten Angreifer den Zugriff auf alle Daten, die der ColdFusion-Serverprozess erreichen kann. Dazu gehören Konfigurationsdateien, Datenbankverbindungszeichenfolgen, Anwendungsdaten und potenziell sensible Geschäftsinformationen. Der Scope-Wert Changed bedeutet, dass auch Ressourcen außerhalb der ColdFusion-Anwendung selbst betroffen sein können.
Integrität (Keine laut CVSS): Der CVSS-Vektor gibt die Integritätsauswirkung als None an. Dies bezieht sich auf die primäre Bewertung des Angriffsvektors; die tatsächliche Ausnutzung durch beliebige Codeausführung kann jedoch sehr wohl zu Integritätsverletzungen führen, da Angreifer Dateien verändern, Hintertüren installieren oder Systemkonfigurationen manipulieren können.
Verfügbarkeit (Keine laut CVSS): Die formale CVSS-Bewertung listet keine Verfügbarkeitsbeeinträchtigung, doch die Möglichkeit der Codeausführung kann in der Praxis zu Dienstunterbrechungen führen.
Die besondere Gefährdung ergibt sich aus der Kombination von netzwerkbasiertem Zugriff ohne Authentifizierung oder Benutzerinteraktion bei niedriger Angriffskomplexität. ColdFusion-Server werden häufig für geschäftskritische Webanwendungen eingesetzt und sind oft direkt aus dem Internet erreichbar, was die Angriffsfläche erheblich vergrößert.
Exploit-Reifegrad
CVE-2023-26360 weist eine extrem hohe Ausnutzungsreife auf. Der EPSS-Score beträgt 94,33 % (Perzentile: 99,95 %), was die Schwachstelle unter die am häufigsten ausgenutzten weltweit einordnet. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 5. April 2023. Öffentliche Exploit-Dokumentationen sind über PacketStorm verfügbar, und die Schwachstelle wird als Unauthenticated Remote Code Execution beschrieben.
Da keine Authentifizierung, keine Benutzerinteraktion und nur geringe Angriffskomplexität erforderlich sind, eignet sich die Schwachstelle für automatisierte Massenangriffe auf aus dem Internet erreichbare ColdFusion-Instanzen. Obwohl die Ransomware-Assoziation im KEV-Katalog als Unknown gelistet ist, ist das Risiko durch die Möglichkeit der Codeausführung erheblich.
Behebung
- Adobe ColdFusion aktualisieren: Sofortiges Update auf ColdFusion 2018 Update 16 oder höher bzw. ColdFusion 2021 Update 6 oder höher gemäß dem offiziellen Adobe Security Bulletin (APSB23-25).
- ColdFusion-Server isolieren, wenn kein Patch möglich: Falls ein sofortiges Update nicht durchführbar ist, betroffene Instanzen vom Netzwerk trennen oder den Zugriff stark einschränken.
- Offizielles Adobe Security Advisory konsultieren: Das Advisory APSB23-25 lesen und alle empfohlenen Maßnahmen umsetzen.
- Zugriffsprotokolle analysieren: ColdFusion-Server-Logs und Webserver-Logs auf verdächtige Anfragen und ungewöhnliche Aktivitäten prüfen, insbesondere auf Anzeichen unautorisierter Codeausführung.
- Netzwerkzugang einschränken: Zugriff auf ColdFusion-Administrationsschnittstellen und verwundbare Endpunkte auf autorisierte IP-Bereiche beschränken; öffentliche Exposition minimieren.
- Web Application Firewall (WAF) einsetzen: WAF-Regeln implementieren, die bekannte Exploitmuster für ColdFusion blockieren, als zusätzliche Schutzschicht.
- Incident Response bei Kompromittierungsverdacht: Bei Anzeichen einer erfolgreichen Ausnutzung umgehend Incident-Response-Prozesse aktivieren, Zugangsdaten rotieren und forensische Analyse einleiten.
Technische Details
Technischer Hintergrund: CVE-2023-26360 betrifft Adobe ColdFusion, eine weit verbreitete Plattform für die Entwicklung von Webanwendungen. Die Schwachstelle liegt in einer fehlerhaften Zugriffskontrolle (Improper Access Control, CWE-284), durch die bestimmte Funktionalitäten ohne Authentifizierung aufgerufen werden können.
Betroffene Versionen: Adobe ColdFusion 2018 Update 15 und älter sowie ColdFusion 2021 Update 5 und älter. Neuere Versionen, in denen die Zugriffskontrolle korrigiert wurde, sind nicht betroffen.
Ausnutzungsmechanismus: Ein Angreifer kann über das Netzwerk ohne Authentifizierung auf verwundbare Endpunkte zugreifen und beliebigen Code im Kontext des ColdFusion-Serverprozesses ausführen. Die niedrige Angriffskomplexität und das Fehlen jeglicher Authentifizierungsanforderung machen die Ausnutzung trivial. Öffentliche Exploits, die als Unauthenticated Remote Code Execution dokumentiert sind, belegen die praktische Durchführbarkeit.
Scope Changed: Der CVSS-Scope-Wert Changed deutet darauf hin, dass die Auswirkungen über die ColdFusion-Anwendung hinausgehen und das zugrunde liegende Betriebssystem oder angrenzende Systeme betreffen können. Dies erhöht die potenzielle Schadensreichweite erheblich.
Häufig gestellte Fragen
Wird CVE-2023-26360 aktiv ausgenutzt?
Ja, CVE-2023-26360 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 5. April 2023. Der EPSS-Score von 94,33 % (Perzentile: 99,95 %) und die Verfügbarkeit öffentlicher Exploits bestätigen die extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2023-26360 betroffen?
Betroffen sind Adobe ColdFusion 2018 Update 15 und ältere Versionen sowie Adobe ColdFusion 2021 Update 5 und ältere Versionen. Adobe hat mit den Updates 16 (für ColdFusion 2018) und Update 6 (für ColdFusion 2021) Patches bereitgestellt.
Wie behebe ich CVE-2023-26360?
Die Behebung erfordert das sofortige Update auf Adobe ColdFusion 2018 Update 16 oder höher bzw. ColdFusion 2021 Update 6 oder höher. Falls ein sofortiges Update nicht möglich ist, sollten betroffene Instanzen gemäß CISA-Empfehlung vom Netzwerk isoliert werden. Das offizielle Adobe Security Advisory APSB23-25 enthält alle relevanten Informationen.
Wie schwerwiegend ist CVE-2023-26360?
CVE-2023-26360 wird mit einem CVSS-Score von 8,6 (HIGH) bewertet. Die Schwachstelle ist ohne Authentifizierung und Benutzerinteraktion über das Netzwerk ausnutzbar und ermöglicht die Ausführung beliebigen Codes. Der extrem hohe EPSS-Score von 94,33 % und die Aufnahme in den CISA KEV-Katalog unterstreichen die kritische Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.