CVE-2026-48282-coldfusion-rds-detection

Adobe ColdFusion RDS中CVE-2026-48282的实验室验证，具有任意CFM文件写入、代码执行、auditd/PCAP证据、事件时间线重建和SOC检测建议。包含英文和波兰语报告。

不包含利用源代码、载荷源代码、CFM 载荷、原始 PCAP 或原始主机证据包。

测试环境

ColdFusion 应用程序目录 /app 通过 Docker 绑定挂载从 Ubuntu 主机路径 /home/user/coldfusion-u9/app 映射。

已验证的内容

测试在隔离且授权的实验室环境中执行。验证涵盖以下序列：

1. Adobe ColdFusion 2025 Update 9 部署在 Docker 中。
2. 为实验室测试启用 RDS，并将身份验证模式设置为无需身份验证。
3. 使用参考资料中列出的公开项目确认 RDS 端点可访问且测试实例似乎存在漏洞。
4. 使用仅限实验室的上传器，通过 RDS FILEIO 操作向 /app/connect.cfm 提交了一个 CFM 文件。
5. 通过 GET /connect.cfm 调用该文件。
6. ColdFusion 通过 Java 进程执行路径启动了 /bin/bash。
7. Shell 建立了到 Windows 工作站的出站 TCP 连接。
8. 执行非破坏性发现命令以确认有效用户、操作系统和工作目录。
9. 将来自攻击者和受害者系统的证据关联到单个 UTC 时间线中。

报告有意记录证据和检测逻辑，而不分发自定义上传器或载荷实现。

确认结果

实验室测试确认：

• 在测试配置中，通过 RDS FILEIO 端点可任意写入 CFM 文件；
• 发出 HTTP 请求后，ColdFusion 执行了写入的 CFM 文件；
• 创建了以下进程链：

• 从 ColdFusion 容器到 Windows 主机的出站 Shell 连接；
• 以 ColdFusion 服务用户上下文执行，而非 root。

在容器内部，有效身份为：

在 Ubuntu 主机上，UID 999 通过主机账户数据库解析为 dnsmasq，这解释了主机级别 auditd 记录和文件所有权输出中显示的不同用户名。

关键证据

RDS 配置

测试中使用的管理配置如下所示。无需身份验证选项仅为受控实验室验证启用。

初始漏洞检查

初始检查确认 RDS 端点可访问，并且通过路径遍历报告了任意文件读取/写入行为。

CFM 文件写入

实验室上传器将本地 CFM 测试工件提交到 /app/connect.cfm。服务器返回了 RDS 响应 1:2:XX，写入的资源随后可通过 HTTP 访问。

代码执行与服务账户上下文

结果 Shell 会话确认以 ColdFusion 服务账户身份执行。截图中显示的命令仅限于环境识别。

Ubuntu 绑定挂载上的文件

该文件出现在 /home/user/coldfusion-u9/app 中，即挂载到容器 /app 的主机路径。

重建时间线

完整时间线可在两份 PDF 报告中获取。最重要的事件如下：

证据收集方法

Linux 和 Docker

受害者主机收集了：

• 当有效 UID 为 999 时，auditd 记录 execve、execveat 和 connect 事件；
• 对 ColdFusion Web 根目录和日志目录的监控；
• HTTP 和回调端口的 tcpdump 流量；
• 定期进程和套接字快照；
• Docker 容器元数据、日志、事件、进程列表和文件系统差异；
• ColdFusion 应用程序和管理日志；
• SHA-256 哈希和元数据基线。

最终 auditd 状态报告 lost=0，表明内核审计子系统在捕获的测试窗口期间未报告丢弃事件。

Windows

攻击者工作站的收集有意限于与报告相关的工件：

• 操作系统和网络详情；
• 事件 ID 4688 进程创建记录；
• 与 Python 和 Ncat 相关的进程；
• 相关 TCP 连接数据；
• 实验室文件的哈希值；
• Microsoft Defender 状态和检测结果；
• 工具版本。

最重要的检测机会

1. RDS FILEIO 请求

监控 HTTP、反向代理、WAF 或网络遥测中以下组合：

该组合比任何单个指示符都要强得多。

2. 文件写入后执行

关联以下内容：

1. 对服务器可执行扩展名的 FILEIO WRITE 请求；
2. 随后对刚写入资源的 GET 请求；
3. 在短时间内，ColdFusion Java 或 jspawnhelper 的新子进程。

3. 可疑的 ColdFusion 子进程

高价值进程指示符包括：

其他命令行指示符包括 /dev/tcp、交互式 Shell 标志、重定向操作符、编码命令以及 cfexecute 的意外使用。

4. 从应用程序服务账户的出站连接

当 ColdFusion 启动的 Shell 或解释器发起出站连接到工作站或异常目标端口时发出警报。实验室事件使用了 TCP 端口 4444，但生产检测不应依赖于单个端口。

5. RDS 配置更改

监控 ColdFusion 管理日志中包含以下内容的消息：

生产中任何 RDS 配置更改都应审查，特别是当身份验证被削弱或服务变得可从其他网络访问时。

6. 应用程序目录文件监控

测试发现了一个重要的容器监控限制：/app 是一个绑定挂载。docker diff 显示了 /app，但未提供对主机挂载目录内创建的各文件的完全可见性。

因此，文件完整性监控、auditd、eBPF 或 EDR 覆盖应监控挂载背后的真实主机路径，例如：

仅监控容器 overlay 或 /opt/coldfusion/cfusion/wwwroot 将无法捕获本次测试中完整的文件创建证据。

安全运营中心（SOC）分类指导

当检测到 HTTP 指示符时，SOC 应立即将其与以下内容关联：

• 源 IP 和用户代理；
• RDS 身份验证和暴露配置；
• FILEIO 请求体包含的目标路径；
• 新的或修改过的 .cfm、.cfc、.jsp 或存档文件；
• 创建后不久对同一文件的 HTTP 访问；
• ColdFusion Java 子进程；
• 来自服务账户的出站连接；
• 后续发现命令，如 whoami、id、uname、hostname、pwd、ip、ifconfig、netstat 或 ss；
• 初始进程执行后的持久化尝试、凭据访问或横向移动。

单独的 GET 请求到 CFM 文件并不足够。最强的告警应结合同一短时间窗口内的文件写入、文件访问、进程创建和网络连接遥测。

推荐的缓解措施

1. 应用 APSB26-68 中引用的 Adobe ColdFusion 安全更新。
2. 当 RDS 非操作必需时禁用它。
3. 如果必须保持 RDS 启用，则强制执行身份验证并将访问限制为明确授权的管理系统。
4. 防止 RDS 和 CFIDE 管理端点暴露给不受信任的网络。
5. 监控并限制对 ColdFusion 可执行服务器端内容的目录的写入。
6. 在业务功能不需要的情况下，限制 ColdFusion 服务账户启动操作系统进程的能力。
7. 监控 Docker 绑定挂载背后的主机路径，而不仅仅是容器 overlay 文件系统。
8. 审查环境中是否存在意外的 CFM/CFC/JSP 文件和 ColdFusion 启动的 Shell。

范围与限制

• 验证针对一个 ColdFusion 2025 Update 9 Docker 实例进行。
• RDS 在受控测试中故意配置为无需身份验证。
• 观察到的影响是以 ColdFusion 服务账户身份执行代码；未观察到权限提升至 root。
• 结果确认了测试的路径和配置。并不证明每个部署、身份验证模式、反向代理或操作系统行为相同。
• 本仓库不包含原始利用代码、自定义上传器和 CFM 载荷。
• 报告包含选定的证据摘录而非完整原始日志，以保持材料可读性并专注于检测。

参考资料

• Adobe 安全公告 APSB26-68
• NVD — CVE-2026-48282
• CVE.org — CVE-2026-48282
• 用作初始验证参考的公开项目

负责任使用声明

本材料仅供防御性安全研究、漏洞管理、检测工程、事件响应准备和授权测试使用。未经明确许可，不得将其用于任何系统。