CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2023-29300

Adobe ColdFusion — RCE przez Deserialization of Untrusted Data

CVSS 9.8v3.1pub. 2023-07-12upd. 2025-10-23

Adobe ColdFusion w wersjach 2018u16 i wcześniejszych, 2021u6 i wcześniejszych oraz 2023.0.0.330468 i wcześniejszych zawiera krytyczną podatność deserializacji niezaufanych danych, umożliwiającą zdalne wykonanie dowolnego kodu. Podatność jest aktywnie wykorzystywana przez atakujących i nie wymaga żadnej interakcji ze strony użytkownika.

▸ Pokaż oryginał (EN)

Adobe ColdFusion versions 2018u16 (and earlier), 2021u6 (and earlier) and 2023.0.0.330468 (and earlier) are affected by a Deserialization of Untrusted Data vulnerability that could result in Arbitrary code execution. Exploitation of this issue does not require user interaction.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej deserializacji danych dostarczanych przez sieć (CWE-502). Atakujący może wysłać specjalnie spreparowany payload do podatnego serwera ColdFusion bez konieczności uwierzytelnienia. Podczas deserializacji złośliwych danych aplikacja wykonuje osadzony w nich kod, co prowadzi do przejęcia kontroli nad systemem.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE) bez jakiegokolwiek uwierzytelnienia, co w praktyce oznacza pełne przejęcie kontroli nad systemem — utratę poufności, integralności i dostępności danych.

Mitygacja

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z biuletynem bezpieczeństwa Adobe APSB23-40 (https://helpx.adobe.com/security/products/coldfusion/apsb23-40.html). Zaleca się aktualizację do wersji wyższych niż wskazane powyżej jako podatne.

Kogo dotyczy

Adobe ColdFusion 2018 w wersji 2018u16 i wcześniejszych; Adobe ColdFusion 2021 w wersji 2021u6 i wcześniejszych; Adobe ColdFusion 2023 w wersji 2023.0.0.330468 i wcześniejszych.

Uwagi

Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych. Organizacje używające Adobe ColdFusion powinny potraktować aktualizację jako priorytet natychmiastowy.