CVE-2023-38203
Adobe ColdFusion Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2023-38203 ist eine kritische Sicherheitslücke in Adobe ColdFusion, die auf unsicherer Deserialisierung nicht vertrauenswürdiger Daten basiert und zur Ausführung beliebigen Codes führen kann. Betroffen sind Adobe ColdFusion 2018u17 und früher, 2021u7 und früher sowie 2023u1 und früher. Der CVSS-Score beträgt 9.8 (CRITICAL), und der EPSS-Score von 94,3% entspricht dem 99,9. Perzentil – damit ist CVE-2023-38203 eine der wahrscheinlichsten aktiv ausgenutzten Schwachstellen überhaupt. Die Schwachstelle erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie besonders gefährlich macht. Adobe ColdFusion ist als mit Ransomware assoziiert im CISA KEV-Katalog gelistet, und das Abhilfedatum war der 29. Januar 2024.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | coldfusion | 2018; 2021; 2023 |
Referenzen
- https://helpx.adobe.com/security/products/coldfusion/apsb23-41.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-38203(Third Party Advisory, US Government Resource)
Schwachstellentyp
Schwachstellentyp
CVE-2023-38203 basiert auf CWE-502: Deserialization of Untrusted Data. Diese Schwachstellenkategorie beschreibt die unsichere Verarbeitung serialisierter Objektdaten aus externen, nicht vertrauenswürdigen Quellen.
Während des Deserialisierungsprozesses werden Byte-Streams zurück in Anwendungsobjekte umgewandelt. Ohne ausreichende Validierung und Eingabefilterung kann ein Angreifer manipulierte serialisierte Daten an den Server senden, die beim Deserialisieren schädlichen Code ausführen. In Adobe ColdFusion ermöglicht dieser Mechanismus die vollständige Serverübernahme ohne jegliche Authentifizierung.
Weitere Informationen zu Deserialisierungsschwachstellen: CWE-502 bei MITRE
Auswirkungsanalyse
Vertraulichkeit (Hoch): Durch erfolgreiche Code-Ausführung erhalten Angreifer vollständigen Zugriff auf alle Daten des ColdFusion-Servers, einschließlich Datenbankzugangsdaten, Konfigurationsdateien, gespeicherte Kundendaten und interne Anwendungsgeheimnisse.
Integrität (Hoch): Angreifer können beliebige Dateien erstellen, modifizieren oder löschen, Webshells für dauerhaften Zugriff installieren, Ransomware ausführen oder den Server vollständig kompromittieren. Der Ransomware-Zusammenhang macht Integritätsverlust besonders wahrscheinlich.
Verfügbarkeit (Hoch): Die vollständige Codeausführung ermöglicht die Deaktivierung von Diensten, Datenverschlüsselung durch Ransomware oder vollständige Zerstörung von Systemdaten.
Angriffsvektor (Netzwerk): Die Schwachstelle ist netzwerkbasiert und erfordert keine Authentifizierung, keine Privilegien und keine Benutzerinteraktion. Jede erreichbare ColdFusion-Installation ist unmittelbar gefährdet.
Der maximale CVSS-Score von 9.8 und der extrem hohe EPSS-Score von 94,3% unterstreichen, dass CVE-2023-38203 eine der gefährlichsten und aktivsten Bedrohungen für ColdFusion-Umgebungen darstellt.
Exploit-Reifegrad
CVE-2023-38203 weist mit 94,3% (99,9. Perzentil) einen außergewöhnlich hohen EPSS-Score auf – praktisch die höchstmögliche Ausnutzungswahrscheinlichkeit. Die Schwachstelle ist im CISA KEV-Katalog als mit Ransomware assoziiert eingetragen, was reale aktive Ausnutzung durch Bedrohungsakteure belegt. Adobe hat den Patch APSB23-41 veröffentlicht und die Schwachstelle als kritisch eingestuft. Deserialisierungsschwachstellen in ColdFusion sind ein bekanntes Ziel für Ransomware-Gruppen und APT-Akteure, die initialen Zugang zu Unternehmensnetzwerken suchen. Alle ungepatchten ColdFusion-Installationen der betroffenen Versionen müssen als aktiv kompromittierbar betrachtet werden.
Behebung
- Sofortiges Update durchführen: Adobe ColdFusion auf Version 2018u18, 2021u8 oder 2023u2 (oder neuer) aktualisieren, um CVE-2023-38203 zu beheben.
- Adobe Security Advisory APSB23-41 befolgen: Die vollständigen Mitigationsschritte unter https://helpx.adobe.com/security/products/coldfusion/apsb23-41.html beachten.
- Serialisierungs-Endpunkte identifizieren: Alle ColdFusion-Endpunkte, die serialisierte Daten empfangen, identifizieren und durch Whitelisting oder Deaktivierung absichern.
- Netzwerkzugang einschränken: ColdFusion-Server hinter einer Firewall betreiben; Administrator-Interface und interne Endpunkte nicht im öffentlichen Internet zugänglich machen.
- Web Application Firewall (WAF) konfigurieren: Regeln zur Erkennung und Blockierung von Deserialisierungs-Payloads aktivieren.
- Systemprüfung auf Kompromittierung: Aktiv nach Anzeichen einer Kompromittierung suchen – unbekannte Webshells, neue Benutzerkonten, ungewöhnliche Netzwerkverbindungen oder verschlüsselte Dateien.
- Logging und Monitoring: Ausführliches Logging aktivieren und auf Anomalien in ColdFusion-Request-Logs achten.
Technische Details
CVE-2023-38203 betrifft die Deserialisierungsverarbeitung in Adobe ColdFusion. Die Schwachstelle entsteht, wenn ColdFusion serialisierte Java-Objekte aus Netzwerkanfragen verarbeitet, ohne diese ausreichend zu validieren oder zu sanieren. Ein Angreifer kann eine speziell gestaltete serialisierte Payload erstellen, die beim Deserialisierungsvorgang eine Gadget-Chain in der Java-Laufzeitumgebung auslöst und so beliebigen Code mit den Rechten des ColdFusion-Prozesses ausführt.
Angriffsmechanismus: Der Angreifer sendet manipulierte serialisierte Daten an einen zugänglichen ColdFusion-Endpunkt. Die Java-Deserialisierung interpretiert die eingeschleusten Daten als legitime Objekthierarchie und führt dabei Schadcode aus, bevor eine Eingabevalidierung greift.
Ähnlichkeit zu CVE-2023-29300: CVE-2023-38203 ist eine verwandte Schwachstelle zu CVE-2023-29300, die denselben Angriffsmechanismus (CWE-502) betrifft, aber neuere ColdFusion-Versionen adressiert (2018u17 vs. 2018u16). Systeme, die CVE-2023-29300 gepatcht haben, müssen zusätzlich CVE-2023-38203 beheben.
CVSS 3.1 Metriken: Attack Vector Network, Attack Complexity Low, Privileges Required None, User Interaction None, Scope Unchanged, C/I/A je High – maximaler Score von 9.8.
Betroffene Versionen: ColdFusion 2018u17 und früher, 2021u7 und früher, 2023u1 und früher.
Häufig gestellte Fragen
Wird CVE-2023-38203 aktiv ausgenutzt?
Ja, CVE-2023-38203 wird aktiv ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog als mit Ransomware assoziiert gelistet. Mit einem EPSS-Score von 94,3% (99,9. Perzentil) ist diese Schwachstelle praktisch mit Sicherheit Ziel aktiver Angriffe. Sie wird von Ransomware-Gruppen und anderen Bedrohungsakteuren zur Kompromittierung von Adobe ColdFusion-Servern eingesetzt.
Welche Produkte sind von CVE-2023-38203 betroffen?
CVE-2023-38203 betrifft Adobe ColdFusion in den Versionen 2018 Update 17 und früher, 2021 Update 7 und früher sowie 2023 Update 1 und früher. Alle nicht gepatchten ColdFusion-Installationen dieser Versionszweige sind anfällig und sollten sofort aktualisiert werden.
Wie behebe ich CVE-2023-38203?
Um CVE-2023-38203 zu beheben, muss Adobe ColdFusion auf Version 2018u18, 2021u8 oder 2023u2 oder neuer aktualisiert werden. Zusätzlich sollten die Anweisungen im Adobe Security Advisory APSB23-41 auf helpx.adobe.com beachtet und der Netzwerkzugriff auf ColdFusion-Server durch Firewall-Regeln und WAF eingeschränkt werden.
Wie schwerwiegend ist CVE-2023-38203?
CVE-2023-38203 hat den maximalen CVSS 3.1 Score von 9.8 (CRITICAL). Die Schwachstelle ermöglicht Remote Code Execution ohne Authentifizierung oder Benutzerinteraktion. Der EPSS-Score von 94,3% (99,9. Perzentil) und die Ransomware-Assoziation im CISA KEV-Katalog machen diese Schwachstelle zu einer der gefährlichsten bekannten Sicherheitslücken in Adobe ColdFusion.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.