CISA ha agregado una vulnerabilidad crítica que afecta las versiones 2021 y 2018 de Adobe ColdFusion a su catálogo de errores de seguridad explotados.
Esta falla crítica de ejecución de código arbitrario (CVE-2023-26360) se debe a una debilidad de control de acceso inadecuado y atacantes no autenticados pueden abusar de ella de forma remota en ataques de baja complejidad que no requieren la interacción del usuario.
Adobe abordó la vulnerabilidad del servidor de aplicaciones en ColdFusion 2018 Update 16 y ColdFusion 2021 Update 6 y dijo que fue explotado en ataques como un día cero.
“Adobe es consciente de que CVE-2023-26360 ha sido explotado en ataques muy limitados dirigidos a Adobe ColdFusion”, dijo la compañía en un aviso de seguridad emitido este martes.
Si bien la falla también afecta las instalaciones de ColdFusion 2016 y ColdFusion 11, Adobe ya no proporciona actualizaciones de seguridad para las versiones que no tienen soporte.
Se recomienda a los administradores que instalen las actualizaciones de seguridad lo antes posible (dentro de las 72 horas, si es posible) y que apliquen los ajustes de configuración de seguridad descritos en las guías de bloqueo de ColdFusion 2018 y ColdFusion 2021.
La plataforma de Fortinet Security Fabric proporciona una verdadera integración y automatización en la infraestructura de seguridad de una organización, brindando una protección y visibilidad sin igual a cada segmento de red, dispositivo y equipo, ya sea virtual, en la nube o local.
Conocer..
Actualizaciones de seguridad etiquetadas como urgentes por CISA
CISA ha otorgado a todas las agencias de la Rama Ejecutiva Civil Federal de EE. UU. (FCEB, por sus siglas en inglés) tres semanas, hasta el 5 de abril, para proteger sus sistemas contra posibles ataques utilizando exploits CVE-2023-26360.
“Este tipo de vulnerabilidades son vectores de ataque frecuentes para los actores cibernéticos maliciosos y representan riesgos significativos para la empresa federal”, dijo CISA .
Si bien Adobe también publicó una publicación de blog separada que anunciaba las actualizaciones de seguridad de ColdFusion 2021 y 2018 de marzo de 2023, no mencionó que las vulnerabilidades de seguridad parcheadas también se explotaron en la naturaleza.
Charlie Arehart, uno de los dos investigadores de seguridad acreditados por descubrir e informar el error CVE-2023-26360, advirtió a los administradores de ColdFusion en un comentario en la publicación del blog de Adobe sobre la importancia real de las actualizaciones de seguridad y la necesidad de parchearlas con urgencia.
«Para ser claros, he visto personalmente que las vulnerabilidades de ejecución de código arbitrario y lectura arbitraria del sistema de archivos han sido perpetradas en múltiples servidores y es grave».
Fuente: bleepingcomputer
Si te ha gustado, ¡compártelo con tus amigos!
