חולשה בשרת היישומים ColdFusion של Adobe מאפשרת לתוקף לקרוא קבצים ממערכת הקבצים של השרת, ולפי התיאור גם לגשת לקבצים מוגבלים או לשנות אותם. הציון הוא 7.4 מתוך 10, ומדצמבר 2024 החולשה רשומה כמנוצלת בפועל. לרשומה יש תנאי אחד שהיא מציינת במפורש: הניצול מחייב שפאנל הניהול יהיה חשוף לאינטרנט.

מה החולשה?

ColdFusion הוא שרת שמריץ יישומי אינטרנט, ויש לו פאנל ניהול, ממשק נפרד שדרכו מגדירים את השרת עצמו. הפאנל הזה אמור להיות נגיש למי שמתחזק את השרת, ולא לכל מי שמגיע אליו מהרשת.

החולשה היא בבקרת הגישה, CWE-284. כלומר לא באג בזיכרון ולא קוד שמוזרק, אלא בדיקה שהייתה אמורה לקרות ולא קרתה: בקשה שהגיעה בלי להזדהות קיבלה גישה למה שלא היה אמור להיות פתוח לה. התוצאה שהרשומה מתארת היא קריאה של קבצים מהשרת.

וקריאה של קבצים היא לעיתים יותר ממה שהיא נשמעת. על שרת יישומים יושבים קובצי הגדרות, ובהם פרטי החיבור לבסיס הנתונים והמפתחות שהיישום משתמש בהם. מי שיכול לקרוא אותם אינו זקוק עוד לחולשה כדי להמשיך.

ושווה לשים לב למה שהדירוג אומר ולמה שאינו אומר. הוא מסמן מורכבות מתקפה גבוהה, ומכאן 7.4 ולא יותר, ומסמן פגיעה גבוהה בסודיות ובשלמות אך לא בזמינות. בתיאור יש גם אזכור של שינוי קבצים, שהוא חמור יותר מקריאה, בלי שהרשומה מפרטת את ההיקף שלו. כשתיאור ודירוג אינם מתלכדים, כדאי להתייחס לתיאור.

מי מושפע?

הרשומה מונה את ColdFusion 2023.6 ו-2021.12 ואת כל מה שקדם להן, כלומר את מהדורות 2023 ו-2021.

אבל הגרסה היא רק חצי מהתשובה כאן, והחצי השני הוא הגדרת הרשת. הרשומה אומרת שהניצול מחייב פאנל ניהול חשוף לאינטרנט, ולכן אותו שרת בדיוק יכול להיות פגיע או לא פגיע לפי ההחלטה הזאת. זה יוצא דופן, וזה גם נוח: אחת הדרכים לסגור את הסיכון נמצאת לגמרי בידיים שלכם, בלי להמתין לחלון תחזוקה.

בישראל מדובר בארגונים שמריצים יישומי ColdFusion ותיקים, ולעיתים אינם יודעים במדויק אילו מהם עוד חיים. מי שצריך לפעול הוא מי שמתחזק את השרת. לגולש אין כאן מה לעשות, אבל נתונים שלו עשויים לשבת מאחורי שרת כזה.

האם מנוצלת בפועל?

כן. ב-16 בדצמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בשטח, עם מועד תיקון לגופים הפדרליים ב-6 בינואר 2025.

הרשומה פורסמה במרץ 2024, תשעה חודשים קודם לכן, ו-Adobe מתעדת את החולשה ואת העדכון בהודעת האבטחה APSB24-14.

והצירוף של תנאי מקדים עם ניצול בשטח אומר דבר פשוט: יש בחוץ מספיק שרתי ColdFusion שפאנל הניהול שלהם פתוח לאינטרנט. התנאי הזה נדיר פחות ממה שהוא נשמע.

מה עושים?

1. בדקו קודם אם פאנל הניהול נגיש מהאינטרנט. זו הבדיקה שהרשומה הופכת למרכזית, והיא גם מהירה: נסו להגיע לכתובת של הפאנל מרשת שאינה שלכם.
2. אם הוא נגיש, סגרו אותו. הגבילו את הגישה לפאנל לרשת הפנימית או לרשימת כתובות מוגדרת. זה אינו תחליף לעדכון, אבל לפי הרשומה זה מבטל את התנאי שהניצול נשען עליו, ואפשר לעשות את זה היום.
3. עדכנו את ColdFusion. חשופות מהדורת 2023 עד 2023.6 ומהדורת 2021 עד 2021.12, וכל מה שקדם להן, ולכן העדכון צריך להיות מעל המספר של המהדורה שאתם מריצים. את גרסת העדכון המדויקת קחו מ-APSB24-14.
4. ומכיוון שהחולשה קוראת קבצים, החליפו את מה שהיה בהם. אם השרת היה חשוף, הניחו שקובצי ההגדרות נקראו, והחליפו את סיסמת בסיס הנתונים ואת המפתחות שהיישום מחזיק. עדכון סוגר את הדרך פנימה, הוא אינו מבטל סוד שכבר יצא.