最后更新于2023年8月10日星期四20:45:27 GMT

Rapid7管理服务团队已经观察到在多个客户环境中利用Adobe ColdFusion. 到目前为止，我们小组应对的攻击似乎是连锁的 cve - 2023 - 29298, rapid7在7月11日披露的ColdFusion中发现了一个访问控制绕过, 有一个额外的漏洞. 我们的团队观察到的行为似乎与零日漏洞攻击一致 发表 （随后被“发现计划”拆除） 7月12日左右.

Background

7月11日，星期二，Adobe 发布的补丁 包括rapid7发现的ColdFusion漏洞 访问控制绕过漏洞 （cve - 2023 - 29298），我们与供应商协调披露. 7月13日, Rapid7管理服务团队开始观察在多个客户环境中对Adobe ColdFusion的利用. 根据现有证据, 威胁行为者似乎正在利用cve - 2023 - 29298以及次要漏洞. 我们的团队正在观察的行为 出现 与…一致 cve - 2023 - 38203，这是 发表 然后被“发现计划”撤下 7月12日左右.

“发现计划”很有可能以为他们发布了一个n天的漏洞 cve - 2023 - 29300 在7月12日的博客文章中. Adobe发布了cve - 2023 - 29300的修复程序, 哪一个是允许任意代码执行的反序列化漏洞, 7月11日. 事实上, Project Discovery详细描述了Adobe在一次带外更新中修复的一个新的零日漏洞链 7月14日.

cve - 2023 - 29300的补丁实现了一个类的否认列表，这些类不能被Web分布式数据交换（WDDX）数据反序列化，这些数据构成了对ColdFusion的某些请求的一部分. Adobe可能无法完全删除此WDDX功能, 因为这会破坏所有依赖于它的东西, 所以不是禁止WDDX数据的反序列化, 它们实现了无法反序列化的Java类路径的否认列表（因此攻击者无法指定位于这些类路径中的反序列化小工具）。.

“发现计划”的作者显然想出了一个可行的小工具.e., 一个不在Adobe的拒绝列表上的类，可以用作基于类的反序列化小工具来实现远程代码执行 com.太阳.行集.JdbcRowSetImpl. Project Discovery团队可能没有意识到他们发现的是一个新的零日漏洞，（我们假设）在Adobe修复漏洞时关闭了他们的博客. 7月14日星期五，Adobe 发布带外补丁 针对cve - 2023 - 38203 -一个新的反序列化漏洞. 这个补丁唯一做的就是添加类路径 !com.太阳.行集.** 揭穿了“发现计划”于7月12日发布的漏洞.

不完整修复了cve - 2023 - 29298

Rapid7的研究人员周一做出了决定, Adobe在7月11日提供的cve - 2023 - 29298修复程序不完整, 并且一个微小的修改漏洞仍然可以攻击最新版本的ColdFusion（7月14日发布）。. 我们已经通知Adobe他们的补丁不完整. 在本文发布时，cve - 2023 - 29298没有缓解措施, 但Rapid7在野外观察到的漏洞链依赖于一个次要漏洞在目标系统上完全执行. 因此, 更新到最新版本的ColdFusion修复了cve - 2023 - 38203，应该仍然可以防止我们的耐多药团队观察到的攻击者行为.

注意: Adobe 发布修复 为7月19日cve - 2023 - 29298的补丁旁路，并将其分配为CVE-2023-38205. Rapid7已经确认新补丁有效.

受影响的产品

以下版本的ColdFusion都容易受到cve - 2023 - 29298和cve - 2023 - 38203的攻击：

  • Adobe ColdFusion 2023更新
  • Adobe ColdFusion 2021更新7及以下
  • Adobe ColdFusion 2018更新17及以下版本

下面的ColdFusion版本包含7月14日针对cve - 2023 - 38203的带外补丁 仍然容易受到cve - 2023 - 29298的攻击：

  • Adobe ColdFusion 2023 Update 2及更早版本
  • Adobe ColdFusion 2021 Update 8及更早版本
  • Adobe ColdFusion 2018 Update 18及更早版本

的 最新的固定版本 截至7月19日，ColdFusion的漏洞如下，应该修复cve - 2023 - 29298, cve - 2023 - 38203, 和cve - 2023 - 38205:

  • Adobe ColdFusion 2023 update
  • Adobe ColdFusion 2021更新
  • Adobe ColdFusion 2018更新19

观察到的攻击者行为

Rapid7在IIS日志中观察到发送到文件的POST请求（见下面的例子） accessmanager.氯氟化碳 为了利用这个漏洞.

然后，攻击者在端点上执行编码的PowerShell命令，以创建一个webshell来访问该端点. 网壳通常在 \ wwwroot \ CFIDE 目录: .\ ColdFusion11 \ cfusion \ wwwroot \ CFIDE \ ckeditr.cfm

此外，Rapid7将cURL命令观察到以下Burpsuite URL，以及 夜间电报/ domain_trusts 相关活动，以便查询域控制器. : hXXp: / / rlgt1hin2gdk2p3teyhuetitrkxblg95.oastify [.] com

国际石油公司

IP地址:
62.233.50[.]13
5.182.36[.]4
195.58.48[.]155

域:

  • oastify [.] com
  • ckeditr [.cfm （SHA256 08D2D815FF070B13A9F3B670B2132989C349623DB2DE154CE43989BB4BBB2FB1）

缓解指导

Adobe ColdFusion客户应立即更新到最新版本的ColdFusion并阻止域 oastify [.] com. 截至7月19日，ColdFusion的最新版本已经发布 APSB23-47这里.

Adobe的7月14日和7月19日 报告 还要明确注意以下几点, 除了应用最新的更新之外，ColdFusion客户可能还需要考虑实施：

如果您将来发现任何具有反序列化漏洞的包, 使用serialfilter.文本文件 /lib 拒绝列出包裹(例如： !org.jgroups.**;).

Rapid7客户

InsightVM和expose客户可以使用7月17日发布的漏洞检查来评估他们对cve - 2023 - 29298和cve - 2023 - 38203的暴露程度. 请注意，之前针对cve - 2023 - 29298的漏洞检查已经更新，以反映修复不完整. CVE-2023-38205的漏洞检查正在开发中，预计将于7月20日发布, 2023年内容发布.

insighttidr和管理检测 & 响应客户通过Rapid7扩展的检测规则库拥有现有的检测覆盖范围. 部署了以下检测规则，并对与此漏洞相关的利用后活动发出警报：

  • Webshell -可能的ColdFusion Webshell命令行（部署时间：2023年3月）
  • 攻击者技术-冷融合生成卷曲.Exe或wget.exe（已部署：2023年7月）
  • 攻击工具- PowerShell -noni -ep -nop标志（部署时间：2019年8月）
  • 攻击者技术- PowerShell下载摇篮（部署时间：2019年1月）
  • PowerShell -混淆脚本（部署时间：2018年3月）
  • 可疑进程-命令行中与Burpsuite相关的域（部署：2020年10月）

管理检测 & 响应客户请注意：如果Rapid7 耐多药团队在您的环境中检测到可疑活动, 您的客户顾问将直接与您联系.