Vulnérabilités critiques dans Adobe ColdFusion (CVE-2023-26359, CVE-2023-26360 et CVE-2023-26359)

Le 8 mars 2023, Adobe a publié des mises à jour de sécurité pour corriger des vulnérabilités critiques dans Adobe ColdFusion, une plateforme populaire de développement d'applications web. Ces vulnérabilités, classées comme contrôle d'accès inapproprié et désérialisation non sécurisée, conduisent à une exécution de code à distance (RCE) non autorisée lorsqu'un attaquant envoie une requête spécialement conçue contenant des données non fiables à un serveur ColdFusion.

L'exploitation ne nécessite pas d'interaction de l'utilisateur, ce qui la rend particulièrement grave car elle permet à un attaquant d'exécuter du code arbitraire dans le contexte de l'utilisateur actuel sans que celui-ci le sache.

La Cybersecurity and Infrastructure Security Agency (CISA) a souligné la gravité de ce problème le 5 décembre 2023, en publiant un avis concernant l'exploitation active de ces vulnérabilités. Elle a noté que cette vulnérabilité est utilisée par des acteurs de la menace cybernétique pour obtenir un accès initial aux serveurs Adobe ColdFusion exposés au public. La vulnérabilité la plus grave a un score CVSS de 9,8, la classant comme Critique.

Donc, après quelques investigations supplémentaires, trois problèmes différents ont été identifiés :

1. CVE-2023-26359 : Vulnérabilité de désérialisation de données non fiables pouvant entraîner l'exécution de code arbitraire dans le contexte de l'utilisateur actuel.
2. CVE-2023-26360 : Initialement reconnue comme une vulnérabilité de contrôle d'accès inapproprié pouvant entraîner l'exécution de code arbitraire dans le contexte de l'utilisateur actuel, mais Adobe l'a ensuite modifiée en désérialisation de données non fiables.