CVE-2023-29300
Adobe ColdFusion Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2023-29300 ist eine kritische Sicherheitslücke in Adobe ColdFusion, die durch unsichere Deserialisierung nicht vertrauenswürdiger Daten entsteht und zur Ausführung beliebigen Codes (Remote Code Execution) führen kann. Betroffen sind Adobe ColdFusion 2018u16 und früher, 2021u6 und früher sowie 2023.0.0.330468 und früher. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 93,7% – entsprechend dem 99,8. Perzentil – zählt diese Schwachstelle zu den gefährlichsten bekannten Sicherheitslücken. Die Schwachstelle kann ohne Benutzerinteraktion und ohne vorherige Authentifizierung aus dem Netzwerk ausgenutzt werden. Adobe ColdFusion ist zudem als mit Ransomware assoziiert im CISA KEV-Katalog gelistet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | coldfusion | 2018; 2021; 2023 |
Referenzen
- https://helpx.adobe.com/security/products/coldfusion/apsb23-40.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-29300(Third Party Advisory, US Government Resource)
Schwachstellentyp
Schwachstellentyp
CVE-2023-29300 basiert auf CWE-502: Deserialization of Untrusted Data. Diese Schwachstellenkategorie beschreibt die unsichere Verarbeitung serialisierter Objektdaten aus nicht vertrauenswürdigen Quellen.
Bei der Deserialisierung werden Byte-Streams zurück in Objekte umgewandelt. Wenn ein Angreifer manipulierte serialisierte Daten einschleust, kann er das Deserialisierungs-Framework dazu bringen, beliebige Klassen zu instanziieren und Methoden aufzurufen, die zu Codeausführung führen. In Adobe ColdFusion wird dieser Mechanismus genutzt, um ohne Authentifizierung Schadcode auf dem Server auszuführen.
Weitere Informationen zu diesem Schwachstellentyp: CWE-502 bei MITRE
Auswirkungsanalyse
Vertraulichkeit (Hoch): Ein erfolgreicher Angriff ermöglicht vollständigen Zugriff auf alle Daten des betroffenen ColdFusion-Servers, einschließlich Datenbankinhalte, Konfigurationsdateien mit Zugangsdaten und sensible Anwendungsdaten.
Integrität (Hoch): Angreifer können beliebigen Code ausführen, was die Installation von Webshells, Backdoors oder Ransomware sowie die vollständige Modifikation von Serverinhalten ermöglicht. Der bekannte Ransomware-Zusammenhang unterstreicht das Risiko dauerhafter Datenverschlüsselung.
Verfügbarkeit (Hoch): Vollständige Codeausführung erlaubt Angreifern, Dienste zu deaktivieren, Daten zu löschen oder Ransomware einzusetzen, was zum vollständigen Ausfall des Servers führen kann.
Angriffsvektor (Netzwerk): Die Schwachstelle ist über das Netzwerk ohne Authentifizierung ausnutzbar – CVE-2023-29300 erfordert weder Benutzerinteraktion noch vorherige Privilegien. Jeder ColdFusion-Server mit Netzwerkzugang ist potenziell gefährdet.
Der CVSS-Score von 9.8 spiegelt die maximale Bedrohung durch die Kombination aus kritischem Angriffsvektor, fehlenden Voraussetzungen und vollständigen Auswirkungen auf alle Schutzziele wider.
Exploit-Reifegrad
CVE-2023-29300 weist einen sehr hohen EPSS-Score von 93,7% auf (99,8. Perzentil), was auf eine extrem hohe Wahrscheinlichkeit aktiver Ausnutzung hinweist. Die Schwachstelle ist im CISA KEV-Katalog als mit Ransomware assoziiert gelistet, was eine dokumentierte, reale Ausnutzung durch Bedrohungsakteure bestätigt. Der Exploit-Mechanismus – Deserialisierung nicht vertrauenswürdiger Daten – ist gut bekannt und wird routinemäßig von Angreifern gegen verwundbare ColdFusion-Installationen eingesetzt. Adobe hat Security Advisory APSB23-40 veröffentlicht, und das CISA-Abhilfedatum war der 29. Januar 2024. Jede ungepatchte ColdFusion-Installation ist als aktiv gefährdet zu betrachten.
Behebung
- Sofort auf aktuelle Version aktualisieren: Adobe ColdFusion auf Version 2018u17, 2021u7 oder 2023u1 (oder neuer) aktualisieren. Diese Versionen enthalten Patches für CVE-2023-29300.
- Adobe Security Advisory APSB23-40 befolgen: Die Anweisungen unter https://helpx.adobe.com/security/products/coldfusion/apsb23-40.html für vollständige Mitigationsschritte beachten.
- ColdFusion Administration Console absichern: Den Zugriff auf den ColdFusion Administrator auf vertrauenswürdige IP-Adressen beschränken und nicht im öffentlichen Internet zugänglich machen.
- Deserialisierungs-Filter aktivieren: ColdFusion-Sicherheitseinstellungen prüfen und Deserialisierungs-Whitelist-Funktionen aktivieren, sofern verfügbar.
- Web Application Firewall (WAF) einsetzen: Eine WAF mit Regeln zur Erkennung und Blockierung von Deserialisierungsangriffen vorschalten.
- Netzwerksegmentierung: ColdFusion-Server hinter einer Firewall betreiben und eingehenden Datenverkehr auf notwendige Ports beschränken.
- Auf Kompromittierung prüfen: Logs auf verdächtige Aktivitäten, neu erstellte Dateien oder ungewöhnliche Prozesse untersuchen, die auf eine bereits erfolgte Ausnutzung hinweisen könnten.
Technische Details
CVE-2023-29300 betrifft die Deserialisierungskomponente von Adobe ColdFusion. ColdFusion verarbeitet serialisierte Java-Objekte, die über das Netzwerk übermittelt werden. Durch das Einschleusen manipulierter serialisierter Objekte kann ein Angreifer einen sogenannten Deserialisierungs-Gadget-Chain ausnutzen, um beliebigen Java-Code auf dem Server auszuführen.
Angriffsmechanismus: Angreifer senden einen speziell gestalteten serialisierten Datenstrom an einen ColdFusion-Endpunkt. Beim Deserialisierungsvorgang wird der Schadcode durch die Java-Laufzeitumgebung ausgeführt, bevor irgendeine Validierung stattfinden kann. Der Angriff erfordert keine Authentifizierung und keine Benutzerinteraktion.
CVSS 3.1 Metriken: Attack Vector Network, Attack Complexity Low, Privileges Required None, User Interaction None, Scope Unchanged, Confidentiality/Integrity/Availability je High. Dies ergibt den maximalen Score von 9.8.
Ransomware-Zusammenhang: Die Schwachstelle wurde von Ransomware-Gruppen ausgenutzt, um initialen Zugriff auf Unternehmensnetzwerke zu erlangen. Dies unterstreicht die erhebliche reale Bedrohungslage.
Betroffene Versionen: Adobe ColdFusion 2018u16 und früher, 2021u6 und früher, 2023.0.0.330468 und früher.
Häufig gestellte Fragen
Wird CVE-2023-29300 aktiv ausgenutzt?
Ja, CVE-2023-29300 wird aktiv ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog als mit Ransomware assoziiert gelistet. Mit einem EPSS-Score von 93,7% (99,8. Perzentil) zählt diese Schwachstelle zu den am gefährlichsten ausgenutzten Sicherheitslücken. Angreifer nutzen sie für initialen Zugriff auf Netzwerke und zur Ransomware-Verbreitung.
Welche Produkte sind von CVE-2023-29300 betroffen?
CVE-2023-29300 betrifft Adobe ColdFusion in den Versionen 2018 Update 16 und früher, 2021 Update 6 und früher sowie 2023.0.0.330468 und früher. Alle nicht gepatchten ColdFusion-Installationen in diesen Versionszweigen sind anfällig.
Wie behebe ich CVE-2023-29300?
Um CVE-2023-29300 zu beheben, muss Adobe ColdFusion auf Version 2018u17, 2021u7 oder 2023u1 oder neuer aktualisiert werden. Zusätzlich sollten die Anweisungen im Adobe Security Advisory APSB23-40 unter helpx.adobe.com befolgt und der Zugriff auf den ColdFusion-Administrator auf vertrauenswürdige Netzwerke beschränkt werden.
Wie schwerwiegend ist CVE-2023-29300?
CVE-2023-29300 hat den höchstmöglichen CVSS 3.1 Score von 9.8 (CRITICAL). Die Schwachstelle ermöglicht Remote Code Execution ohne Authentifizierung und Benutzerinteraktion. Der EPSS-Score von 93,7% und die Ransomware-Assoziation im KEV-Katalog machen CVE-2023-29300 zu einer der dringlichsten zu behebenden Sicherheitslücken.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.