CVE-2024-53961: Adobe ha lanzado una actualización de emergencia para ColdFusion

Adobe anunció la publicación de actualizaciones de seguridad fuera de ciclo para corregir una vulnerabilidad crítica en ColdFusion ( CVE-2024-53961 ), para la cual ya existe un exploit PoC. El problema se debe a una vulnerabilidad de recorrido de directorios que permite a los atacantes leer archivos arbitrarios en servidores vulnerables.

La vulnerabilidad afecta a las versiones ColdFusion 2023 y 2021. La empresa le asignó una calificación de gravedad "Prioridad 1", indicando un alto riesgo de explotación real. En la escala CVSS, el problema obtuvo una calificación de 7.4. Se recomienda a los administradores instalar las actualizaciones de seguridad (ColdFusion 2021 Update 18 y ColdFusion 2023 Update 12) dentro de las próximas 72 horas.

Además, Adobe aconseja configurar los parámetros de seguridad de acuerdo con las guías de bloqueo para ColdFusion 2023 y 2021 y actualizar los filtros de serialización para protegerse contra ataques a través de la deserialización insegura de Wddx.

Aunque la empresa no ha confirmado casos de explotación de esta vulnerabilidad, la CISA previamente advirtió sobre la importancia de corregir problemas similares. Las vulnerabilidades de recorrido de directorios, conocidas desde 2007, siguen siendo relevantes, permitiendo a los atacantes acceder a datos confidenciales, incluidas credenciales de usuarios.

El año pasado, la CISA ya exigió a las agencias federales actualizar ColdFusion para solucionar vulnerabilidades críticas, incluidas las de día cero. Entre ellas se encontraba la vulnerabilidad CVE-2023-26360, que fue utilizada activamente en ataques contra servidores obsoletos.