CVE-2023-44350

O Adobe ColdFusion 2023.5 e 2021.11 e anteriores desserializam dados não confiáveis de forma insegura, e o resultado é execução de código arbitrário sem exigir interação do usuário. Um atacante envia dados serializados forjados a um servidor ColdFusion alcançável e obtém código rodando nele — remoto, não autenticado e direto. Esta é a classe de maior consequência de falha em servidor web, e o ColdFusion normalmente roda servidores de aplicação que ficam próximos de dados sensíveis.

Bugs de desserialização no ColdFusion têm um histórico longo e feio de exploração ativa, vários deles aparecendo na lista de known-exploited da CISA, então esta não é uma classe hipotética. A Adobe explicitamente observa que a exploração não requer interação do usuário, exatamente o perfil que atrai desenvolvimento rápido de prova de conceito e varredura ampla. ColdFusion voltado para a internet é um alvo perene, e RCE não autenticado contra ele deve ser presumido como algo que rapidamente atrai atenção.

Tratamos isso como topo da fila. O trabalho é encontrar cada instância do ColdFusion — incluindo servidores de aplicação esquecidos e legados, onde o ColdFusion notoriamente persiste — confirmar quais são alcançáveis pela internet e levá-los a builds corrigidos sem demora. Dado o histórico, também preparamos a detecção de tentativas de exploração contra esses hosts, em vez de presumir que a correção chegará antes dos scanners.