Adobe ColdFusion: patch incompleta per vulnerabilità multiple

I ricercatori di Rapid7 hanno comunicato di aver scoperto un exploit che sfrutta una serie di vulnerabilità di Adobe ColdFusion. Degli ignoti cybercriminali hanno approfittato dello scenario per aggirare l’autenticazione ed eseguire comandi remoti, compresa l’installazione di web shell sui server.

Adobe ColdFusion: exploit per falle multiple

Andando più nello specifico, l’exploit sfrutta la vulnerabilità CVE-2023-38203, insieme alla vulnerabilità CVE-2023-29298. Le patch sono state rilasciate rispettivamente il 14 e 11 luglio.

La prima delle due patch, però, era incompleta e il rilascio di quella corretta da parte di Adobe è avvenuto soltanto nelle score ore.

L’azienda Project Discovery aveva pubblicato il 12 luglio i dettagli della vulnerabilità CVE-2023-29300 con il codice dell’exploit. In realtà si trattava della vulnerabilità CVE-2023-38203, per cui la divulgazione è avvenuta prima del rilascio della patch da parte di Adobe. Project Discovery ha pertanto provveduto a eliminare l’articolo, ma i cybercriminali avevano già approfittato delle informazioni in esso presenti, per cui la mossa si è rivelata praticamente inefficace, seppur doverosa.

Se non viene installato installato il correttivo ora disponibile in maniera completa, le due  vulnerabilità possono essere sfruttate per aggirare il controllo degli accessi e installare web shell, il che consente di inviare comandi remoti, oltre che di eseguire codice sui server ColdFusion.

Si è trattato insomma di una combinazione di eventi fallimentari che hanno portato a conseguenze tutt'altro che di poco conto e che avrebbero potuto continuare a causare gravi danni nel caso in cui la situazione non fosse stata sistemata prontamente da parte di tutte le parti coinvolte.