- Aktif istismar
- CWE-502
CVE-2017-3066
Adobe ColdFusion Apache BlazeDS Java seri durumdan çıkarma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3471 gün
- Kaydı açan
- adobe
Yönetici özeti
Eski ColdFusion sürümlerini kullanan sunucular internet üzerinden doğrudan ele geçirilebilir ve açığın aktif olarak istismar edildiği bilinmektedir. Başarılı bir saldırı veri sızıntısına ve hizmet kesintisine neden olabilir. Bu nedenle konu acil ele alınmalıdır.
ÖzetTürkçe
Adobe ColdFusion 2016 Update 3 ve öncesi, ColdFusion 11 Update 11 ve öncesi ile ColdFusion 10 Update 22 ve öncesi sürümlerinde, Apache BlazeDS kütüphanesinde güvensiz Java seri durumdan çıkarma (deserialization, CWE-502) açığı bulunmaktadır. Saldırgan kimlik doğrulaması olmadan ağ üzerinden istek göndererek açığı tetikleyebilir. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almakta ve kamuya açık istismar kodu bulunmaktadır.
Saldırgan ne yapabilir?
Saldırgan etkilenen sunucuda uzaktan, kimlik doğrulaması olmadan keyfi kod çalıştırabilir. Bu durum sunucunun ve üzerindeki verilerin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Adobe ColdFusion 2016 Update 3 and earlier, ColdFusion 11 update 11 and earlier, ColdFusion 10 Update 22 and earlier have a Java deserialization vulnerability in the Apache BlazeDS library. Successful exploitation could lead to arbitrary code execution.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Adobe'nin yayımladığı güvenlik bülteninde belirtilen güncellemeleri uygulayın ve ColdFusion'ı en güncel desteklenen sürüme yükseltin. Genel öneri
- Üretici talimatlarına göre azaltım önlemlerini uygulayın; önlemler uygulanamıyorsa ürünün kullanımını sonlandırın. CISA
- Güncelleme yapılana kadar ColdFusion sunucusuna internetten erişimi güvenlik duvarı ile kısıtlayın veya sunucuyu yalnızca güvenilir ağlardan erişilebilir hale getirin. Genel öneri
- Sunucuda şüpheli etkinlik olup olmadığını inceleyin; olası ele geçirilme durumunda sistemi izole edip kimlik bilgilerini yenileyin. Genel öneri
Ek önlemler
- Artık desteklenmeyen ColdFusion sürümlerini destekli sürümlere taşıyın. Genel öneri
- Yönetim ve BlazeDS ile ilişkili uç noktalara erişimi gereksiz yere dışarıya açmayın; web uygulama güvenlik duvarı (WAF) kullanın. Genel öneri
- ColdFusion sunucusunun süreç ve ağ davranışlarını izleyin; beklenmedik giden bağlantıları ve yeni oluşan dosyaları takip edin. Genel öneri
- ColdFusion hizmetini en düşük yetkili hesapla çalıştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe ColdFusion ColdFusion 2016 Update 3 and earlier, ColdFusion 11 update 11 and earlier, ColdFusion 10 Update 22 and earlier | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- exploit-db.com/exploits/43993 İstismar kodu ya da analiz
- helpx.adobe.com/security/products/coldfusion/apsb17-14.html Diğer
- securityfocus.com/bid/98003 Diğer
- securitytracker.com/id/1038364 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.