CVE-2026-48282 — Validazione e rilevamento di Adobe ColdFusion RDS

Validazione di laboratorio di CVE-2026-48282 in Adobe ColdFusion Remote Development Services (RDS), incentrata su prove tecniche, ricostruzione degli eventi e opportunità di rilevamento difensivo.

Il repository documenta un test controllato in cui la funzionalità RDS FILEIO vulnerabile è stata utilizzata per scrivere un file CFM in una directory applicativa di ColdFusion. L'invocazione del file via HTTP ha indotto ColdFusion ad avviare una shell di sistema e a stabilire una connessione in uscita. L'attività di processo e di rete risultante è stata catturata utilizzando Linux auditd, tcpdump, la telemetria Docker, i log di ColdFusion e l'Event ID 4688 di Windows.

[!IMPORTANT] Questo repository contiene esclusivamente report e schermate. L'implementazione personalizzata di caricamento file/payload è volutamente non inclusa, poiché pubblicare codice di sfruttamento direttamente riutilizzabile aggiungerebbe capacità offensive non necessarie. Il materiale è destinato alla validazione delle vulnerabilità, all'ingegneria SOC, allo sviluppo di rilevamenti e alla ricerca autorizzata.

Report

• Report di validazione in inglese
• Report di validazione in polacco

Entrambi i report contengono la metodologia di test completa, estratti delle prove, la cronologia, la catena dei processi, gli indicatori di rete, le indicazioni di mitigazione, le raccomandazioni di audit ed esempi di logica SIEM.

Struttura del repository

.
├── README.md
├── SHA256SUMS.txt
├── reports/
│   ├── CVE-2026-48282_ColdFusion_RDS_detection_EN.pdf
│   └── CVE-2026-48282_ColdFusion_RDS_detection_PL.pdf
└── screenshots/
    ├── 01_rds_authentication_no_authentication.png
    ├── 02_vulnerability_check.png
    ├── 03_rds_file_write_validation.png
    ├── 04_reverse_shell_session.png
    └── 05_connect_cfm_on_ubuntu_host.png

Non sono inclusi codice sorgente di exploit, sorgente del payload, payload CFM, PCAP grezzi o pacchetti grezzi di prove raccolte sull'host.

Ambiente di test

La directory applicativa di ColdFusion /app è stata mappata dal percorso host Ubuntu /home/user/coldfusion-u9/app come bind mount Docker.

Cosa è stato validato

Il test è stato eseguito in un ambiente di laboratorio isolato e autorizzato. La validazione ha riguardato la seguente sequenza:

1. Adobe ColdFusion 2025 Update 9 è stato distribuito in Docker.
2. RDS è stato abilitato per il test di laboratorio, con la modalità di autenticazione impostata su No authentication needed.
3. Il progetto pubblico elencato in Riferimenti è stato utilizzato per confermare che l'endpoint RDS fosse raggiungibile e che l'istanza testata apparisse vulnerabile.
4. Un uploader esclusivamente di laboratorio è stato utilizzato per inviare un file CFM tramite l'operazione RDS FILEIO a /app/connect.cfm.
5. Il file è stato invocato tramite GET /connect.cfm.
6. ColdFusion ha avviato /bin/bash tramite il percorso di esecuzione dei processi Java.
7. La shell ha stabilito una connessione TCP in uscita verso la workstation Windows.
8. Sono stati eseguiti comandi di discovery non distruttivi per confermare l'utente effettivo, il sistema operativo e la directory di lavoro.
9. Le prove provenienti dai sistemi attaccante e vittima sono state correlate in un'unica cronologia UTC.

I report documentano intenzionalmente le prove e la logica di rilevamento senza distribuire l'uploader personalizzato o l'implementazione del payload.

Risultato confermato

Il test di laboratorio ha confermato:

• scrittura arbitraria di file CFM tramite l'endpoint RDS FILEIO nella configurazione testata;
• esecuzione del file CFM scritto da ColdFusion dopo una richiesta HTTP;
• creazione della catena di processi:

ColdFusion Java
└── jspawnhelper
    └── /bin/bash -c ...
        └── bash -i
            ├── whoami
            ├── uname
            └── id

• una connessione shell in uscita dal container ColdFusion all'host Windows;
• esecuzione nel contesto dell'utente di servizio di ColdFusion, non come root.

All'interno del container, l'identità effettiva era:

uid=999(cfuser) gid=999(cfuser) groups=999(cfuser)

Sull'host Ubuntu, l'UID 999 è stato risolto tramite il database degli account dell'host come dnsmasq, il che spiega il diverso nome utente mostrato nei record auditd a livello di host e nell'output della proprietà dei file.

Prove principali

Configurazione RDS

La configurazione amministrativa utilizzata per il test è mostrata di seguito. L'opzione No authentication needed è stata abilitata solo per la validazione controllata di laboratorio.

Verifica iniziale della vulnerabilità

La verifica iniziale ha confermato che l'endpoint RDS era raggiungibile e ha segnalato un comportamento di lettura/scrittura arbitraria dei file tramite path traversal.

Scrittura del file CFM

L'uploader di laboratorio ha inviato l'artefatto di test CFM locale a /app/connect.cfm. Il server ha restituito la risposta RDS 1:2:XX e la risorsa scritta è stata successivamente raggiungibile via HTTP.

Esecuzione del codice e contesto dell'account di servizio

La sessione shell risultante ha confermato l'esecuzione come account di servizio di ColdFusion. I comandi mostrati nella schermata erano limitati all'identificazione dell'ambiente.

File sul bind mount Ubuntu

Il file è comparso in /home/user/coldfusion-u9/app, il percorso host montato nel container come /app.

Cronologia ricostruita

La cronologia completa è disponibile in entrambi i report PDF. Gli eventi più importanti sono stati:

Metodologia di raccolta delle prove

Linux e Docker

L'host vittima ha raccolto:

• eventi auditd per execve, execveat e connect in cui l'UID effettivo era 999;
• watch sulla webroot di ColdFusion e sulla directory dei log;
• traffico tcpdump per le porte HTTP e di callback;
• snapshot periodici di processi e socket;
• metadati dei container Docker, log, eventi, elenchi di processi e differenze del filesystem;
• log applicativi e amministrativi di ColdFusion;
• hash SHA-256 e baseline dei metadati.

Lo stato finale di auditd riportava lost=0, a indicare che il sottosistema di audit del kernel non ha segnalato eventi persi durante la finestra di test catturata.

Windows

La raccolta sulla workstation attaccante è stata volutamente limitata agli artefatti rilevanti per il report:

• dettagli del sistema operativo e della rete;
• record di creazione processi Event ID 4688;
• processi associati a Python e Ncat;
• dati rilevanti delle connessioni TCP;
• hash dei file di laboratorio;
• stato e rilevamenti di Microsoft Defender;
• versioni degli strumenti.

Opportunità di rilevamento più importanti

1. Richiesta RDS FILEIO

Monitorare la telemetria HTTP, del reverse proxy, WAF o di rete per la seguente combinazione:

POST /CFIDE/main/ide.cfm?ACTION=FILEIO
User-Agent: Dreamweaver-RDS-SCM1.00
request body contains: WRITE
request body references: .cfm, .cfc, or .jsp

La combinazione è significativamente più forte di qualsiasi singolo indicatore da solo.

2. Scrittura di file seguita da esecuzione

Correlare:

1. una richiesta FILEIO WRITE verso un'estensione eseguibile dal server;
2. una successiva richiesta GET alla risorsa appena scritta;
3. un nuovo processo figlio del Java di ColdFusion o di jspawnhelper entro una breve finestra temporale.

3. Processo figlio sospetto di ColdFusion

Gli indicatori di processo ad alto valore includono:

parent process: java or jspawnhelper
child process: bash, sh, dash, cmd.exe, powershell.exe, or pwsh

Ulteriori indicatori della riga di comando includono /dev/tcp, flag di shell interattiva, operatori di reindirizzamento, comandi codificati e uso inatteso di cfexecute.

4. Connessione in uscita dall'account di servizio dell'applicazione

Generare un alert quando una shell o un interprete avviato da ColdFusion avvia una connessione in uscita verso una workstation o una porta di destinazione insolita. L'evento di laboratorio ha utilizzato la porta TCP 4444, ma il rilevamento in produzione non dovrebbe dipendere da un'unica porta.

5. Modifiche alla configurazione RDS

Monitorare i log amministrativi di ColdFusion per messaggi contenenti:

enabled RDS security
RDS authentication type
No authentication needed

Qualsiasi modifica alla configurazione RDS in produzione dovrebbe essere esaminata, in particolare quando l'autenticazione viene indebolita o il servizio diventa raggiungibile da reti aggiuntive.

6. Monitoraggio dei file nella directory dell'applicazione

Il test ha identificato un'importante limitazione del monitoraggio dei container: /app era un bind mount. docker diff mostrava /app ma non forniva visibilità completa sui singoli file creati all'interno della directory montata dall'host.

Il monitoraggio dell'integrità dei file, auditd, eBPF o la copertura EDR dovrebbero quindi monitorare il percorso host reale alla base del mount, ad esempio:

/home/user/coldfusion-u9/app

Il monitoraggio del solo overlay del container o di /opt/coldfusion/cfusion/wwwroot non avrebbe catturato l'evidenza completa della creazione dei file per questo test.

Guida al triage SOC

Quando viene rilevato l'indicatore HTTP, il SOC dovrebbe immediatamente correlarlo con:

• l'IP sorgente e lo user agent;
• la configurazione di autenticazione ed esposizione di RDS;
• il percorso target contenuto nel corpo della richiesta FILEIO;
• file .cfm, .cfc, .jsp o archivi nuovi o modificati;
• accesso HTTP allo stesso file subito dopo la creazione;
• processi figli di ColdFusion Java;
• connessioni in uscita dall'account di servizio;
• successivi comandi di discovery come whoami, id, uname, hostname, pwd, ip, ifconfig, netstat o ss;
• tentativi di persistenza, accesso alle credenziali o movimento laterale dopo l'esecuzione iniziale del processo.

Una singola richiesta GET a un file CFM non è sufficiente da sola. L'alert più efficace combina la telemetria di scrittura dei file, accesso ai file, creazione di processi e connessioni di rete all'interno della stessa breve finestra temporale.

Mitigazioni raccomandate

1. Applicare l'aggiornamento di sicurezza di Adobe ColdFusion indicato in APSB26-68.
2. Disattivare RDS quando non è operativamente necessario.
3. Se RDS deve rimanere abilitato, imporre l'autenticazione e limitare l'accesso ai sistemi amministrativi esplicitamente autorizzati.
4. Impedire che gli endpoint amministrativi RDS e CFIDE siano esposti a reti non affidabili.
5. Monitorare e limitare le scritture nelle directory da cui ColdFusion può eseguire contenuti lato server.
6. Limitare la capacità dell'account di servizio di ColdFusion di avviare processi del sistema operativo quando la funzionalità aziendale non lo richiede.
7. Monitorare i percorsi host dietro i bind mount Docker, non solo il filesystem overlay del container.
8. Esaminare l'ambiente per individuare file CFM/CFC/JSP inattesi e shell avviate da ColdFusion.

Ambito e limitazioni

• La validazione è stata eseguita su un'unica istanza Docker di ColdFusion 2025 Update 9.
• RDS è stato volutamente configurato come No authentication needed per il test controllato.
• L'impatto osservato è stata l'esecuzione di codice come account di servizio di ColdFusion; non è stata osservata alcuna escalation di privilegi verso root.
• Il risultato conferma il percorso e la configurazione testati. Non dimostra che ogni distribuzione, modalità di autenticazione, reverse proxy o sistema operativo si comporti in modo identico.
• Il codice exploit grezzo, l'uploader personalizzato e il payload CFM non sono distribuiti in questo repository.
• I report contengono estratti selezionati delle prove anziché log grezzi completi, per mantenere il materiale leggibile e focalizzato sul rilevamento.

Riferimenti

• Adobe Security Bulletin APSB26-68
• NVD — CVE-2026-48282
• CVE.org — CVE-2026-48282
• Progetto pubblico utilizzato come riferimento iniziale per la validazione

Avviso sull'uso responsabile

Questo materiale è fornito per la ricerca di sicurezza difensiva, la gestione delle vulnerabilità, l'ingegneria dei rilevamenti, la preparazione alla risposta agli incidenti e i test autorizzati. Non utilizzarlo contro sistemi senza autorizzazione esplicita.