Adobe, güvenlik araştırmacıları önceki bir yamanın eksik olduğunu ve vahşi ortamda istismar edildiğini tespit ettikten sonra, ColdFusion yazılımı için döngü dışı bir yazılım yaması yayınladı.
Hikaye, saldırganlara yönetime ColdFusion Markup (CFM) ve ColdFusion Component (CFC) uç noktalarına erişim sağlayan bir erişim kontrol hatası olan CVE-2023-29298’i içeren bir Rapid7 ifşasıyla başladı.
Bugünün yamaları erişim kontrolü kusurlarını giderir: CVE-2023-38204, CVSS’de 9,8 olarak derecelendirilmiştir ancak istismar edilmemiştir, CVE-2023-38205, 7,8’lik oranlardadır ve istismar edilmiştir ve CVE-2023-38206, 5,3 olarak derecelendirilmiştir.
Adobe danışma belgesinde “Adobe, CVE-2023-38205’in Adobe ColdFusion’u hedef alan sınırlı saldırılarda vahşi ortamda kullanıldığının farkındadır” ifadesi yer aldı.
Rapid7, CVE-2023-38205’in gerekli olduğunu çünkü bu ayın başlarında yayınlanan bir düzeltmenin eksik olduğunu söyledi: “Rapid7 araştırmacıları, 17 Temmuz Pazartesi günü Adobe’nin 11 Temmuz’da CVE-2023-29298 için sağladığı düzeltmenin eksik olduğunu ve önemsiz bir şekilde değiştirilmiş bir istismarın ColdFusion’ın en son sürümüne karşı hala çalıştığını belirledi” dedi.
“Adobe, 19 Temmuz’da CVE-2023-29298 yama atlaması için bir düzeltme yayınladı ve bunu CVE-2023-38205 olarak atadı.
“Rapid7, yeni yamanın çalıştığını onayladı.”
Rapid7’nin gönderisi, uzlaşma göstergesi olan üç IP adresini ve iki etki alanını tanımlar.