Adobe ColdFusion è una piattaforma commerciale avanzata ampiamente utilizzata per lo sviluppo e il deployment di applicazioni web. Le versioni 2016 Update 3 e precedenti, 11 Update 11 e precedenti, e 10 Update 22 e precedenti contengono una grave vulnerabilità di sicurezza che consente ad attaccanti remoti non autenticati di eseguire codice arbitrario sul server sottostante.

Riassunto tecnico

Il nucleo di questa vulnerabilità risiede nella deserializzazione non sicura di oggetti Java all’interno della libreria Apache BlazeDS, che è inclusa nelle versioni vulnerabili di Adobe ColdFusion. La deserializzazione Java è il processo di conversione di un flusso di byte in un oggetto Java. Quando tale processo viene eseguito su dati non affidabili o manipolati senza una corretta validazione, può portare all’istanziazione di classi arbitrarie presenti nel classpath del server.

Gli attaccanti possono sfruttare questa vulnerabilità creando oggetti Java serializzati malevoli e inviandoli agli endpoint di ColdFusion che utilizzano BlazeDS per la gestione dei dati. Quando ColdFusion tenta di deserializzare questi oggetti manipolati, può essere forzato a istanziare ed eseguire codice Java arbitrario. Questo consente ad un attaccante remoto e non autenticato di ottenere il pieno controllo del server ColdFusion interessato.

Raccomandazioni

Per affrontare efficacemente e mitigare questa grave vulnerabilità di esecuzione di codice remoto, gli amministratori dovrebbero intraprendere immediatamente le seguenti azioni:

• Aggiornare Adobe ColdFusion: Aggiornare a una versione che includa la correzione per questa CVE. Ciò significa aggiornare a:

  • ColdFusion 2016 Update 4 o successivo
  • ColdFusion 11 Update 12 o successivo
  • ColdFusion 10 Update 23 o successivo

• Applicare le Patch Ufficiali: Assicurarsi che tutte le hotfix e gli aggiornamenti di sicurezza disponibili forniti da Adobe per la versione di ColdFusion installata siano applicati tempestivamente. Anche se non è possibile effettuare un aggiornamento completo immediatamente, è fondamentale applicare la patch specifica che risolve la CVE-2017-3066.

• Monitorare Attività Sospette: Monitorare attentamente i log del server ColdFusion e il traffico di rete per identificare eventuali tentativi di sfruttamento, come richieste anomale o esecuzioni di processi inattesi.