Adobe publie des correctifs d'urgence pour ColdFusion en raison d'une grave vulnérabilité

Adobe a lancé plusieurs mises à jour de sécurité afin de résoudre une vulnérabilité critique dans ColdFusion qui dispose déjà d’un code de preuve de concept (PoC) pour son exploitation. Cette vulnérabilité, identifiée comme CVE-2024-53961, permet aux attaquants de lire des fichiers arbitraires sur des serveurs compromis. Il a été confirmé que la faille de sécurité affecte les versions 2023 et 2021 de ColdFusion.

Abonnez-vous à la Newsletter de Softonic et recevez les dernières nouvelles en tech, jeux, divertissement dans votre boîte mail

Abonnez-vous (c'est GRATUIT) ►

Dans un communiqué publié lundi, Adobe a indiqué que la vulnérabilité présente un risque élevé d’être exploitée dans des attaques informatiques réelles. « Adobe est conscient que CVE-2024-53961 dispose d’un code de preuve de concept qui pourrait entraîner la lecture arbitraire de systèmes de fichiers », a averti l’entreprise. De plus, elle a classé la vulnérabilité avec une priorité de sévérité “1”, indiquant un risque accru d’attaques actives sur des produits et plateformes spécifiques.

La société exhorte les administrateurs systèmes à installer d’urgence les mises à jour de sécurité (ColdFusion 2021 Update 18 et ColdFusion 2023 Update 12), en recommandant de le faire dans un délai maximum de 72 heures. Elle a également suggéré de mettre en œuvre les configurations de sécurité décrites dans les guides de verrouillage de ColdFusion 2021 et 2023 pour atténuer les risques potentiels.

Bien qu’Adobe n’ait pas confirmé si cette vulnérabilité a été exploitée de manière active, elle a indiqué que les clients devraient consulter la documentation mise à jour sur les filtres de sérialisation pour se protéger contre les attaques de désérialisation Wddx non sécurisées. Selon la Agence de cybersécurité et de sécurité des infrastructures des États-Unis (CISA), ce type de vulnérabilités est particulièrement dangereux, car il peut être utilisé pour accéder à des données sensibles, telles que des identifiants, qui pourraient à leur tour permettre un accès non autorisé aux systèmes.

La CISA a déjà alerté en 2023 sur plusieurs vulnérabilités critiques dans ColdFusion, obligeant les agences fédérales américaines à patcher les serveurs contre les attaques. De plus, elle a révélé en mars de la même année que les hackers exploitent des failles similaires dans des serveurs gouvernementaux obsolètes.

NordVPN TÉLÉCHARGER