Adobe heeft een kritieke kwetsbaarheid verholpen in de applicatie ColdFusion. Door deze exploit was het voor kwaadwillenden mogelijk om via Remote Code Execution (RCE) root-rechten te bemachtigen en zo toegang te krijgen tot gevoelige gegevens. Het Amerikaanse technologiebedrijf en het Nationaal Cyber Security Centrum (NCSC) adviseren om de beveiligingspatch zo snel mogelijk te installeren.
Dat melden Adobe en het NCSC in een recente Security Advisory.
Adobe geeft patch buiten updateschema vrij
Adobe ColdFusion is een programma om webapplicaties te ontwikkelen die gebaseerd zijn op programmeertaal CFML (ColdFusion Markup Language). Normaal gesproken rolt Adobe updates uit op vaste tijdstippen. De huidige patch is buiten dit updateschema vrijgegeven, omdat het een ernstige kwetsbaarheid verhelpt.
De exploit gaat door het leven als CVE-2023-38203 en heeft het stempel ‘critical’ gekregen. Door de kwetsbaarheid kunnen hackers en cybercriminelen op afstand kwaadwillige code uitvoeren om zo administrator- of root-rechten te bemachtigen. Met dergelijke rechten kunnen zij bedrijfsnetwerken doorzoeken op vertrouwelijke of privacygevoelige informatie.
Adobe verwacht dat hackers kwetsbaarheid zullen misbruiken
Vanwege de impact die de kwetsbaarheid kan hebben op de bedrijfsvoering, heeft deze een CVSS-score van 9.8 gekregen. ‘CVSS’ staat voor Common Vulnerability Scoring System en geeft de ernst van een exploit aan. Hoe hoger dit getal, des te groter het risico is dat bedrijven lopen.
Er zijn geen signalen dat cybercriminelen deze kwetsbaarheid hebben misbruikt. Adobe verwacht dat dit op korte termijn wel zal gebeuren. Daarom adviseert het bedrijf klanten om de beveiligingsupdate zo snel mogelijk te installeren. Het gaat om ColdFusion 2018 update 18, ColdFusion 2021 update 8 en ColdFusion 2023 Update 2.
Adobe zegt cybersecurityspecialisten Rahul Maini, Harsh Jaiswal en MoonBack (ipplus360) erkenbaar te zijn voor het ontdekken en melden van het beveiligingslek aan het bedrijf.
