Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-502

CVE-2023-38203

Adobe ColdFusion'da güvenilmeyen veri seri durumdan çıkarma ile kimlik doğrulamasız uzaktan kod çalıştırma

Adobe ColdFusion

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1195 gün
Kaydı açan
adobe
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 8 Oca 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 29 Oca 2024. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu zafiyet, internetten erişilebilen ColdFusion sunucularının şifre gerekmeden uzaktan ele geçirilmesine izin veriyor ve saldırganlarca aktif olarak kullanılıyor. Başarılı bir saldırı hizmet kesintisine ve veri kaybına yol açabilir. Güncellemenin gecikmeden uygulanması gerekir.

ÖzetTürkçe

Adobe ColdFusion 2018 Update 17 ve öncesi, 2021 Update 7 ve öncesi ile 2023 Update 1 ve öncesi sürümlerinde güvenilmeyen verinin seri durumdan çıkarılması (CWE-502) zafiyeti bulunmaktadır. Zafiyet, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edilebilir. Etkilenen sürümleri çalıştıran tüm ColdFusion sunucuları risk altındadır. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan etkilenen sunucuda rastgele kod çalıştırabilir. Bu durum sunucunun tamamen ele geçirilmesine, verilerin okunmasına veya değiştirilmesine ve hizmetin kesintiye uğramasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Adobe ColdFusion versions 2018u17 (and earlier), 2021u7 (and earlier) and 2023u1 (and earlier) are affected by a Deserialization of Untrusted Data vulnerability that could result in Arbitrary code execution. Exploitation of this issue does not require user interaction.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Adobe'nin ilgili güvenlik bülteninde yayımladığı ColdFusion güvenlik güncellemesini (2018, 2021 ve 2023 sürümleri için ayrı güncellemeler) hemen uygulayın. Genel öneri
  2. Güncelleme sonrasında ColdFusion'ın güncel güncelleme seviyesinde çalıştığını doğrulayın. Genel öneri
  3. CISA gereği: Satıcı talimatlarına göre azaltma önlemlerini uygulayın; azaltma önlemleri mümkün değilse ürünün kullanımını bırakın. CISA
  4. Güncelleme uygulanana kadar ColdFusion yönetim ve uygulama arayüzlerine erişimi güvenilir IP adresleriyle sınırlayın ve sunucuyu internetten izole etmeyi değerlendirin. Genel öneri

Ek önlemler

  • Sunucu ve web uygulaması günlüklerinde olağan dışı istekleri, beklenmeyen süreç başlatmalarını ve yeni oluşturulmuş dosyaları kontrol edin; sistemin daha önce ele geçirilmiş olabileceğini göz önünde bulundurun. Genel öneri
  • ColdFusion sunucusunun önüne bir web uygulama güvenlik duvarı (WAF) yerleştirin ve gereksiz uç noktaları dışarıya kapatın. Genel öneri
  • ColdFusion servisini en az yetkiye sahip bir hesapla çalıştırın ve sunucuyu ağda segmentlere ayırın. Genel öneri
  • Adobe güvenlik bültenlerini düzenli takip edin ve güncellemeleri zamanında uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Adobe ColdFusion ≤ cf2023U1 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.