ColdFusion הוא שרת יישומי אינטרנט של Adobe, והחולשה הזאת מתועדת בו מאז אפריל 2017. בפברואר 2025, כמעט שמונה שנים אחר כך, הוסיפה אותה סוכנות הסייבר האמריקאית CISA לרשימת החולשות שתוקפים מנצלים בפועל. הציון שלה הוא 9.8 מתוך 10, ותוקף מהרשת יכול להריץ בעזרתה קוד על השרת בלי שם משתמש ובלי סיסמה.

מה החולשה?

כששרת מקבל נתונים מהרשת, לפעמים הנתונים האלה אינם טקסט פשוט אלא תיאור ארוז של אובייקט שלם: סוג, שדות, ערכים. השרת מפרסר את התיאור ובונה ממנו בחזרה אובייקט חי בזיכרון. הבעיה מתחילה כשהוא עושה את זה לכל תיאור שמגיע אליו, בלי לבדוק קודם אם מותר לו לבנות דווקא את האובייקט הזה.

תוקף שמכיר את ההתנהגות הזאת לא שולח נתונים, הוא שולח מתכון. הוא מרכיב תיאור של אובייקט שהבנייה שלו בעצמה מפעילה קוד, שולח אותו לשרת, והשרת מצידו עושה בדיוק את מה שהתבקש. לסוג הבאג הזה קוראים deserialization של נתונים ממקור לא מהימן.

ב-ColdFusion החולשה לא יושבת בקוד של Adobe עצמו אלא ב-BlazeDS, ספריית קוד פתוח של Apache שהמוצר משתמש בה לתקשורת עם יישומי צד לקוח. זה גם חלק מההסבר לאורך החיים שלה: ארגון שמריץ יישום ColdFusion ותיק לא תמיד יודע אילו ספריות יושבות מתחת למוצר.

מי מושפע?

לפי הרשומה ב-NVD החולשה קיימת ב-ColdFusion 2016 עד Update 3, ב-ColdFusion 11 עד update 11 וב-ColdFusion 10 עד Update 22. כל גרסה בטווחים האלה פגיעה, וכל גרסה שמעליהם כבר קיבלה את התיקון.

בישראל ColdFusion הוא לא מוצר שגולש פוגש. אין לו גרסה שמותקנת על מחשב פרטי, אלא שרת שמריץ אתרים ויישומים פנים ארגוניים, והוא גם לא נפוץ כאן במיוחד לעומת פלטפורמות אחרות. מה שכן, המקומות שבהם הוא עוד רץ הם בדיוק המקומות שבהם קוד נשאר באוויר עשר שנים ויותר. שם גם הסיכוי הגבוה ביותר שהגרסה היא אחת מאלה שברשימה.

האם מנוצלת בפועל?

כן. החולשה נמצאת בקטלוג ה-KEV של CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל ולא רק בתיאוריה. היא נוספה לקטלוג ב-24 בפברואר 2025, והמועד שנקבע לגופים הפדרליים בארצות הברית לסיים את התיקון היה 17 במרץ 2025.

נוסף על כך, הרשומה ב-NVD מפנה לקוד ניצול שפורסם בפומבי ב-Exploit-DB. כלומר אין כאן מחסום של ידע או של מאמץ, ומי שרוצה לנסות לא צריך לפתח דבר בעצמו.

מה עושים?

בדקו איזו גרסה ואיזה update רצים אצלכם. אם זה ColdFusion 2016 ב-Update 3 או מתחת, ColdFusion 11 ב-update 11 או מתחת, או ColdFusion 10 ב-Update 22 או מתחת, השרת פגיע.

התקינו את העדכון שמפורסם בהודעת האבטחה APSB17-14 של Adobe. זה התיקון עצמו ולא הקלה זמנית, ואין עוקף שמחליף אותו.

אם השרת היה חשוף לאינטרנט בזמן שרצה עליו אחת הגרסאות האלה, התקנת העדכון לבדה לא עונה על השאלה החשובה. שילוב של ניצול פומבי זמין ושל הופעה בקטלוג ה-KEV אומר שכדאי לעבור גם על יומני השרת ועל מה שרץ עליו, ולא להסתפק בכך שהדלת נסגרה.

אם מדובר ביישום שאף אחד לא מתחזק יותר ואי אפשר לעדכן אותו, זה השלב להחליט מה עושים איתו. חולשה בת שמונה שנים שתוקפים חזרו אליה היא סימן שהגרסה הזאת לא תישאר שקטה.