Jetzt patchen! Attacken gegen Adobe ColdFusion
Der Softwarehersteller Adobe hat in aktuellen Versionen von ColdFusion eine kritische Sicherheitslücke geschlossen.
Adobes ColdFusion ist in verschiedenen Ausgaben und für alle Systeme verwundbar. Derzeit sollen Angreifer die Middleware aktiv attackieren. Abgesicherte Versionen stehen zum Download bereit. Aufgrund der Dringlichkeit veröffentlicht Adobe die Updates außer der Reihe – normalerweise gibt es ein Mal pro Monat am Patchday Sammel-Updates.
Die Sicherheitslücke (CVE-2019-7816) findet sich in der Upload-Funktion und Angreifer könnten Datei-Beschränkungen umgehen, Schadcode hochladen und ausführen. Das funktioniert aber nur, wenn ColdFusion für das Hochladen von ausführbaren Dateien in aus dem Web erreichbare Ordner konfiguriert ist. Adobe stuft den von der Schwachstelle ausgehenden Bedrohungsgrad als "kritisch" ein.
Abgesichert sind die Ausgaben ColdFusion 11 Update 18, ColdFusion 2016 Update 10 und ColdFusion 2018 Update 3. Alle vorigen Ausgaben sollen bedroht sein. In einer Sicherheitswarnung verweist Adobe noch auf allgemeine Tipps für eine sichere Konfiguration der Middleware. (des)
