Adobe ColdFusion est une plateforme commerciale avancée largement utilisée pour le développement et le déploiement d’applications web. Les versions 2016 Update 3 et antérieures, 11 Update 11 et antérieures, ainsi que 10 Update 22 et antérieures contiennent une vulnérabilité de sécurité critique qui permet à des attaquants distants non authentifiés d’exécuter du code arbitraire sur le serveur sous-jacent.

Produit	ColdFusion
Date	2025-04-10 08:34:04
Informations	Correctif disponible Exploitation active

Résumé technique

Le cœur de cette vulnérabilité réside dans la désérialisation non sécurisée d’objets Java au sein de la bibliothèque Apache BlazeDS, incluse dans les versions vulnérables d’Adobe ColdFusion. La désérialisation Java est le processus de conversion d’un flux d’octets en un objet Java. Lorsque ce processus est effectué sur des données non fiables ou manipulées sans validation appropriée, il peut conduire à l’instanciation de classes arbitraires présentes dans le classpath du serveur.

Les attaquants peuvent exploiter cette vulnérabilité en créant des objets Java sérialisés malveillants et en les envoyant aux points de terminaison (endpoints) de ColdFusion qui utilisent BlazeDS pour la gestion des données. Lorsque ColdFusion tente de désérialiser ces objets manipulés, il peut être forcé d’instancier et d’exécuter du code Java arbitraire. Cela permet à un attaquant distant non authentifié d’obtenir le contrôle total du serveur ColdFusion concerné.

Recommandations

Pour traiter et atténuer efficacement cette vulnérabilité critique d’exécution de code à distance, les administrateurs doivent immédiatement prendre les mesures suivantes :

• Mettre à jour Adobe ColdFusion : Mettre à jour vers une version incluant le correctif pour cette CVE. Cela signifie passer à :

  • ColdFusion 2016 Update 4 ou supérieur
  • ColdFusion 11 Update 12 ou supérieur
  • ColdFusion 10 Update 23 ou supérieur

• Appliquer les correctifs officiels : S’assurer que tous les correctifs (hotfixes) et mises à jour de sécurité fournis par Adobe pour la version de ColdFusion installée sont appliqués rapidement. Même s’il n’est pas possible d’effectuer une mise à jour complète immédiatement, il est crucial d’appliquer le correctif spécifique qui résout la CVE-2017-3066.

• Surveiller les activités suspectes : Surveiller attentivement les journaux (logs) du serveur ColdFusion et le trafic réseau afin d’identifier toute tentative d’exploitation, telle que des requêtes anormales ou l’exécution de processus inattendus.

[Callforaction-THREAT-Footer]