Adobe ColdFusion 2016 Update 9/2018 Update 2/bis 11 Update 17 File Upload erweiterte Rechte
CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
7.8 | $0-$5k | 0.00 |
Eine Schwachstelle wurde in Adobe ColdFusion 2016 Update 9/2018 Update 2/bis 11 Update 17 (Programming Language Software) entdeckt. Sie wurde als kritisch eingestuft. Betroffen davon ist ein unbekannter Codeteil der Komponente File Upload. Durch das Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-434. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:
ColdFusion versions Update 2 and earlier, Update 9 and earlier, and Update 17 and earlier have a file upload restriction bypass vulnerability. Successful exploitation could lead to arbitrary code execution.
Die Entdeckung des Problems geschah am 01.03.2019. Die Schwachstelle wurde am 01.03.2019 als APSB19-14C in Form eines bestätigten Security Bulletins (Website) herausgegeben. Das Advisory findet sich auf helpx.adobe.com. Die Verwundbarkeit wird seit dem 12.02.2019 mit der eindeutigen Identifikation CVE-2019-7816 gehandelt. Die Schwachstelle ist relativ beliebt, und dies trotz ihrer hohen Komplexität. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Es sind zwar keine technische Details, jedoch ein privater Exploit zur Schwachstelle bekannt. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1608.002 bezeichnet.
Er wird als funktional gehandelt. Für den Vulnerability Scanner Nessus wurde am 01.03.2019 ein Plugin mit der ID 122535 (Adobe ColdFusion < 11.x < 11u18 / 2016.x < 2016u10 / 2018.x < 2018u3 Vulnerability (APSB19-14)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet und im Kontext l ausgeführt. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 371677 (Adobe Security Update for ColdFusion (APSB19-14)) zur Prüfung der Schwachstelle an.
Die Schwachstelle lässt sich durch das Einspielen des Patches 11 Update 18/2016 Update 10/2018 Update 3 lösen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Adobe hat demzufolge unmittelbar gehandelt.
Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (122535) dokumentiert. Unter tenable.com werden zusätzliche Informationen bereitgestellt.
Produkt
Typ
Hersteller
Name
Version
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 8.0VulDB Meta Temp Score: 7.8
VulDB Base Score: 6.3
VulDB Temp Score: 5.9
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 9.8
NVD Vector: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Erweiterte RechteCWE: CWE-434 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Zugang: Privat
Status: Funktional
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Nessus ID: 122535
Nessus Name: Adobe ColdFusion < 11.x < 11u18 / 2016.x < 2016u10 / 2018.x < 2018u3 Vulnerability (APSB19-14)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Context: 🔍
Qualys ID: 🔍
Qualys Name: 🔍
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: PatchStatus: 🔍
Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍
Patch: 11 Update 18/2016 Update 10/2018 Update 3
Timeline
12.02.2019 🔍01.03.2019 🔍
01.03.2019 🔍
01.03.2019 🔍
01.03.2019 🔍
03.03.2019 🔍
26.07.2023 🔍
Quellen
Hersteller: adobe.comAdvisory: APSB19-14C
Status: Bestätigt
Bestätigung: 🔍
CVE: CVE-2019-7816 (🔍)
SecurityFocus: 107211
scip Labs: https://www.scip.ch/?labs.20161013
Diverses: 🔍
Eintrag
Erstellt: 03.03.2019 14:29Aktualisierung: 26.07.2023 10:52
Anpassungen: 03.03.2019 14:29 (70), 13.05.2020 16:03 (4), 26.07.2023 10:52 (5)
Komplett: 🔍
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.