Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-502

CVE-2023-29300

Adobe ColdFusion'da güvenilmeyen verinin seri durumdan çıkarılması ile kod çalıştırma

Adobe ColdFusion

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1204 gün
Kaydı açan
adobe
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 8 Oca 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 29 Oca 2024. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Adobe ColdFusion'daki bu kritik açık, saldırganların internet üzerinden herhangi bir şifre olmadan sunucunuzu ele geçirmesine izin verebilir ve açığın aktif olarak istismar edildiği bilinmektedir. Sunucudaki verilerin çalınması, değiştirilmesi veya hizmetin durdurulması söz konusu olabilir. Güncellemenin gecikmeden uygulanması gerekir.

ÖzetTürkçe

Adobe ColdFusion 2018u16 ve öncesi, 2021u6 ve öncesi ile 2023.0.0.330468 ve öncesi sürümlerinde, güvenilmeyen verinin seri durumdan çıkarılması (CWE-502) zafiyeti bulunmaktadır. Saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden gerçekleştirilebilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesindedir; yani aktif olarak istismar edilmektedir. Etkilenen sürümleri çalıştıran tüm ColdFusion sunucuları risk altındadır.

Saldırgan ne yapabilir?

Uzaktan ve kimlik doğrulaması olmadan saldırgan, sunucuda keyfi kod çalıştırabilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde tam kontrol kaybına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Adobe ColdFusion versions 2018u16 (and earlier), 2021u6 (and earlier) and 2023.0.0.330468 (and earlier) are affected by a Deserialization of Untrusted Data vulnerability that could result in Arbitrary code execution. Exploitation of this issue does not require user interaction.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Adobe'nin güvenlik bülteninde belirtilen ColdFusion güvenlik güncellemesini, kullandığınız sürüm (2018, 2021 veya 2023) için eksiksiz biçimde uygulayın. Genel öneri
  2. CISA gereği: Üreticinin talimatlarına göre azaltım önlemlerini uygulayın; azaltım önlemleri mümkün değilse ürünün kullanımını bırakın. CISA
  3. Güncelleme uygulanana kadar ColdFusion sunucusunun internetten erişimini güvenlik duvarı ile kısıtlayın veya sunucuyu ağdan ayırın. Genel öneri
  4. Güncellemeden sonra sunucuda olağan dışı süreçler, yeni dosyalar veya yetkisiz hesaplar olup olmadığını kontrol edin; daha önce istismar edilmiş olma ihtimalini göz önünde bulundurun. Genel öneri

Ek önlemler

  • ColdFusion yönetim arayüzünü ve gereksiz hizmetleri doğrudan internete açmayın; yalnızca güvenilir IP adreslerinden erişime izin verin. Genel öneri
  • Web uygulaması güvenlik duvarı (WAF) kullanarak şüpheli seri hale getirilmiş veri içeren istekleri izleyin ve engelleyin. Genel öneri
  • ColdFusion sunucusunu en az yetkili bir hizmet hesabıyla çalıştırın ve günlükleri düzenli olarak inceleyin. Genel öneri
  • Desteklenen sürümleri kullanın ve Adobe güvenlik bültenlerini düzenli takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Adobe ColdFusion ≤ 2023.0.0.330468 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.