Xakep #239. Вскрыть и изучить

• Содержание выпуска


• Подписка на «Хакер»

Разработчики Adobe решили не дожидаться мартовского «вторника обновлений» (в это месяце выпадает на 12 марта) и выпустили внеплановый патч для критической проблемы в ColdFusion.

Уязвимость получила идентификатор CVE-2019-7816 и статус критической. Баг затрагивает все поддерживаемые на данный момент версии платформы (то есть ColdFusion 11, 2016 и 2018), а также более старые версии.

Согласно официальному бюллетеню безопасности, уязвимость связана с неавторизованной загрузкой файлов. Атакующий, имеющий соответствующий доступ, может загрузить на сервер исполняемый код и выполнить его в контексте ColdFusion посредством HTTP-запроса. Разработчики пишут, что вместо установки патча (если она по каким-то причинам невозможна) также можно ограничить запросы к директориям, где хранятся загруженные файлы.

Сообщается, что уязвимость обнаружили не ИБ-специалисты, но обычные ColdFusion-разработчики. Один из них, Чарли Арехарт (Charlie Arehart), рассказал изданию Bleeping Computer, что заметил проблему, когда с ее помощью был атакован один из его клиентов. Арехарт не стал вдаваться в подробности, говоря об атаках или самом баге, поэтому неизвестно, как именно хакеры эксплуатируют баг.

Напомню, что осенью прошлого года серверы ColdFusion уже подвергались атакам из-за похожей проблемы, тоже связанной с неавторизованной загрузкой файлов. Тогда злоумышленники использовали уязвимость для загрузки на уязвимые машины бэкдора China Chopper.