Adobe ออกเตือนลูกค้าเกี่ยวกับช่องโหว่ที่สามารถ remote code execution ระดับ critical ใน ColdFusion ที่หมายเลข CVE-2023-29300 (คะแนน CVSS: 9.8) ที่ถูกใช้ประโยชน์ในการโจมตี โดยผู้ที่ไม่ได้รับการตรวจสอบสิทธิ์สามารถ exploit จากช่องโหว่เพื่อดำเนินการ remotely execute command บนเซิร์ฟเวอร์ Coldfusion 2018, 2021 และ 2023 ที่มีช่องโหว่

โดย Adobe ไม่ได้เปิดเผยถึงรายละเอียดทางเทคนิคของช่องโหว่ แต่ได้แก้ไขช่องโหว่ใน ColdFusion จำนวน 3 รายการดังนี้

1. หมายเลข CVE-2023-29298 (คะแนน CVSS: 7.5) ช่องโหว่ Improper Access Control

2. หมายเลข CVE-2023-29300 (คะแนน CVSS: 9.8) ช่องโหว่ Deserialization of Untrusted Data

3. หมายเลข CVE-2023-29301 (คะแนน CVSS: 5.9) ช่องโหว่ Improper Restriction of Excessive Authentication Attempts    

โดยเมื่อเดือนมีนาคม 2023 US Cybersecurity and Infrastructure Security Agency (CISA) ได้เพิ่มช่องโหว่ที่สำคัญใน Adobe ColdFusion ที่หมายเลข CVE-2023-26360 (คะแนน CVSS: 8.6) ใน Known Exploited Vulnerabilities Catalog ซึ่งเป็นช่องโหว่ Improper Access Control ที่อาจทำให้ผู้โจมตีจากระยะไกลเรียกใช้ execute arbitrary code ได้

แหล่งข่าว [ https://securityaffairs.com/148542/hacking/coldfusion-rce-attacks.html ] & Adobe เตือนลูกค้าถึงช่องโหว่ระดับ critical ใน ColdFusion ที่สามารถ exploit RCE - Thailand Computer Emergency Response Team (ThaiCERT)