- Aktif istismar
- CWE-434
CVE-2018-15961
Adobe ColdFusion'da kısıtlanmamış dosya yükleme ve kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2955 gün
- Kaydı açan
- adobe
Yönetici özeti
Bu açık, internete açık ColdFusion sunucularının dışarıdan, herhangi bir yetki gerekmeden ele geçirilmesine izin verebilir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle güncelleme gecikmeden yapılmalıdır. Savunmasız bir sunucu, veri kaybına ve hizmet kesintisine neden olabilir.
ÖzetTürkçe
Adobe ColdFusion'ın 12 Temmuz sürümü (2018.0.0.310739), Update 6 ve öncesi ile Update 14 ve öncesi sürümlerinde kısıtlanmamış dosya yükleme (CWE-434) zafiyeti bulunmaktadır. Kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilir. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır ve kamuya açık istismar kodu mevcuttur.
Saldırgan ne yapabilir?
Saldırgan sunucuya kötü amaçlı dosya yükleyerek ColdFusion sunucusunda rastgele kod çalıştırabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Adobe ColdFusion versions July 12 release (2018.0.0.310739), Update 6 and earlier, and Update 14 and earlier have an unrestricted file upload vulnerability. Successful exploitation could lead to arbitrary code execution.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Adobe'nin yayımladığı güvenlik güncellemesini uygulayarak ColdFusion'ı etkilenen sürümlerin üzerine çıkarın; Adobe'nin güvenlik bülteninde belirtilen talimatları izleyin. Genel öneri
- CISA gereği: güncellemeleri üreticinin talimatlarına göre uygulayın. CISA
- Güncelleme sonrasında sunucuda yetkisiz yüklenmiş dosya, beklenmeyen web kabuğu veya şüpheli süreç olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- ColdFusion yönetim ve yükleme uç noktalarına erişimi güvenlik duvarı veya ters vekil ile yalnızca gerekli IP adresleriyle sınırlayın. Genel öneri
- Web dizinlerinde yeni veya değiştirilmiş yürütülebilir dosyaları izleyin ve dosya bütünlüğü denetimi uygulayın. Genel öneri
- ColdFusion hizmetini en az yetkili bir hesapla çalıştırın ve yükleme dizinlerinde betik çalıştırmayı devre dışı bırakın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe ColdFusion | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- exploit-db.com/exploits/45979 İstismar kodu ya da analiz
- helpx.adobe.com/security/products/coldfusion/apsb18-33.html Diğer
- securityfocus.com/bid/105314 Diğer
- securitytracker.com/id/1041621 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.