ادوبی برای بستر توسعه‌ی برنامه‌ی وب ColdFusion خود به‌روزرسانی‌های خارج از موعد منتشر کرده است تا یک آسیب‌پذیری بهره‌برداری‌شده را رفع کند. آسیب‌پذیری روز-صفرم که با شناسه‌ی CVE-2019-7816 ردیابی می‌شود، به‌عنوان یک مسأله‌ی دور زدن محدودیت بارگذاری فایل توصیف شده است که ممکن است منجر به اجرای کد دلخواه در سرویس ColdFusion شود. این آسیب‌پذیری امنیتی در ColdFusion نسخه‌ی ۱۱، ۲۰۱۶ و ۲۰۱۸ رفع شده است.
ادوبی به کاربران توصیه کرده است تا علاوه‌بر نصب به‌روزرسانی‌ها در اسرع وقت، تنظیمات پیکربندی امنیتی را همان‌طور که در راهنمای قفل این بستر و صفحه‌ی امنیتی ColdFusion نشان داده شده است، اعمال کنند. این حمله به توانایی بارگذاری کد قابل اجرا در یک مسیر قابل دسترسی از طریق وب نیاز دارد و کد را از طریق یک درخواست HTTP اجرا می‌کند. با محدود کردن درخواست‌های ارسال‌شده به مسیرهایی که فایل‌های بارگذاری‌شده درآن‌جا ذخیره شده‌اند، می‌توان با این حمله مقابله کرد. هیچ جزئیاتی درباره‌ی حملاتی که از این آسیب‌پذیری بهره‌برداری می‌کنند، ارائه نشده است.
این تنها آسیب‌پذیری ColdFusion نیست که در ماه‌های اخیر توسط عاملان مخرب مورد بهره‌برداری قرار گرفته است. در ماه نوامبر نیز Volexity اعلام کرد که یک آسیب‌پذیری با شناسه‌ی CVE-2018-15961 که ادوبی در ماه سپتامبر آن را رفع کرده بود، توسط گروه APT مورد بهره‌برداری قرار گرفته است تا یک وب‌شِل قدیمی به نام China Chopper را در کارگزارهای آسیب‌پذیر بارگذاری کند.
منبع
