CVE-2023-44350

Adobe ColdFusion 2023.5 y 2021.11 y anteriores deserializan datos no confiables de forma insegura, y el resultado es ejecución de código arbitrario sin requerir interacción del usuario. Un atacante envía datos serializados manipulados a un servidor ColdFusion accesible y consigue código ejecutándose en él: remoto, no autenticado y directo. Esta es la clase de fallo de servidor web de mayor consecuencia, y ColdFusion típicamente ejecuta servidores de aplicaciones que se sitúan cerca de datos sensibles.

Los fallos de deserialización de ColdFusion tienen un largo y feo historial de ser explotados en la práctica, varios de ellos aterrizando en la lista de vulnerabilidades explotadas conocidas de CISA, así que esta no es una clase hipotética. Adobe señala explícitamente que la explotación no necesita interacción del usuario, que es exactamente el perfil que atrae un desarrollo rápido de prueba de concepto y un escaneo amplio. ColdFusion expuesto a internet es un objetivo perenne, y un RCE no autenticado contra él debe asumirse que atraerá atención rápidamente.

Tratamos esto como lo primero de la cola. El trabajo es encontrar cada instancia de ColdFusion —incluidos servidores de aplicaciones olvidados y heredados, que es donde ColdFusion notoriamente perdura—, confirmar cuáles son accesibles desde internet y llevarlas a compilaciones corregidas sin demora. Dado el historial, también preparamos la detección de intentos de explotación contra estos hosts en lugar de asumir que el parcheo llegará antes que los escáneres.