Vulnerabilidades críticas no Adobe ColdFusion (CVE-2023-26359, CVE-2023-26360 e CVE-2023-26359)

Em 8 de março de 2023, a Adobe lançou atualizações de segurança para corrigir vulnerabilidades críticas no Adobe ColdFusion, uma popular plataforma de desenvolvimento de aplicações web. Essas vulnerabilidades, classificadas como controle de acesso inadequado e desserialização insegura, levam à execução remota de código (RCE) não autorizada quando um invasor envia uma requisição especialmente criada contendo dados não confiáveis para um servidor ColdFusion.

A exploração não requer interação do usuário, tornando-a particularmente grave, pois permite que invasores executem código arbitrário no contexto do usuário atual sem o seu conhecimento.

A Agência de Segurança Cibernética e Infraestrutura (CISA) destacou a gravidade desse problema em 5 de dezembro de 2023, ao publicar um alerta sobre a exploração ativa das falhas. Eles observaram que essa vulnerabilidade está sendo utilizada por agentes de ameaças cibernéticas para obter acesso inicial a servidores web Adobe ColdFusion voltados ao público. A vulnerabilidade mais grave possui uma pontuação CVSS de 9,8, categorizando-a como Crítica.

Basicamente, após uma investigação mais aprofundada, três problemas diferentes foram identificados:

1. CVE-2023-26359: Vulnerabilidade de desserialização de dados não confiáveis que poderia resultar na execução de código arbitrário no contexto do usuário atual.
2. CVE-2023-26360: Inicialmente foi reconhecida como uma vulnerabilidade de controle de acesso inadequado que poderia resultar na execução de código arbitrário no contexto do usuário atual, mas posteriormente a Adobe alterou para desserialização de dados não confiáveis.
3. CVE-2023-26361: Vulnerabilidade de limitação inadequada de um caminho para um diretório restrito ('Path Traversal') que poderia resultar em leitura arbitrária do sistema de arquivos.

Este script de exploração foi escrito para uma análise de CVE no vsociety).

Uso

Ajuda:

usage: exploit.py [-h] --host HOST [--read-file READ_FILE] [--cmd CMD] [--endpoint ENDPOINT] [--win] [--proxy PROXY]

Exploit script for remote file read or command execution against Adobe ColdFusion (CVE-2023-26359, CVE-2023-26360, and CVE-2023-26359).

options:
  -h, --help            show this help message and exit
  --host HOST           Target host URL
  --read-file READ_FILE, -f READ_FILE
                        File path to read from the host
  --cmd CMD, -c CMD     Command to execute on the target
  --endpoint ENDPOINT   Endpoint URL
  --win                 Specify this if the target host is considered to be Windows.
  --proxy PROXY         Proxy URL

# Arbirary file read
python3 exploit.py --host http://localhost:8500 --read-file '../../../../etc/passwd'

# RCE
python3 exploit.py --host http://localhost:8500 --cmd 'CMD'                                          

Aviso Legal

Este script de exploração foi criado exclusivamente para fins de pesquisa e para o desenvolvimento de técnicas defensivas eficazes. Não se destina a ser usado para quaisquer atividades maliciosas ou não autorizadas. O autor e o proprietário do script se isentam de qualquer responsabilidade por uso indevido ou danos causados por este software. Os usuários são instados a usar este software de forma responsável e apenas de acordo com as leis e regulamentos aplicáveis. Use com responsabilidade.