„ColdFusion“ skubos lopas: šešios idealaus pavojingumo spragos ir pamoka apie senas platformas

Birželio 30-ąją „Adobe“ paskelbė skubų saugumo biuletenį APSB26-68 savo serverinei platformai „ColdFusion“. Skaičiai kalba patys už save: iš viso vienuolika spragų, iš jų šešios įvertintos maksimaliu 10.0 pavojingumo balu pagal CVSS skalę. „Adobe“ biuleteniui suteikė aukščiausią, pirmojo prioriteto žymą — ją bendrovė naudoja tada, kai spraga arba jau aktyviai atakuojama, arba rizika, kad tai netrukus įvyks, yra itin didelė.

Šešios „tobulo“ balo spragos praktiškai reiškia vieną dalyką: nuotolinis, neautentifikuotas užpuolikas — tai yra, tas, kuris net neturi jokių prisijungimo duomenų — gali perimti visišką pažeidžiamo serverio kontrolę. Jokio slaptažodžio, jokios naudotojo sąveikos.

Kas tiksliai nutiko

Pavojingiausios šešios spragos skirstosi į tris tipus. Dvi jų (CVE-2026-48276 ir CVE-2026-48283) yra neribojamo failų įkėlimo klaidos — jos leidžia be autentifikacijos į serverį įkelti ir paleisti savavališkus failus, faktiškai — svetimą kodą. Dar trys (CVE-2026-48277, CVE-2026-48281 ir CVE-2026-48316) yra netinkamo įvesties tikrinimo spragos, leidžiančios vykdyti savavališką kodą be jokio slaptažodžio. Šeštoji (CVE-2026-48282) — kelio perėjimo (path traversal) klaida, taip pat vedanti į nuotolinį kodo vykdymą.

Prie jų prisideda dar penkios rimtos, bet mažiau kritiškos spragos: netinkamo įvesties tikrinimo klaida su 9.3 balo įverčiu, atspindėtoji XSS ataka (8.8), serverio pusės užklausų klastojimas arba SSRF (8.6) ir dar viena kelio perėjimo spraga (6.5). Bendras poveikis, kurį įvardija „Adobe“: savavališko kodo vykdymas, teisių eskalavimas, savavališkas failų skaitymas serveryje ir saugumo mechanizmų apėjimas.

Paveiktos versijos — „ColdFusion 2025“ iki 9-ojo atnaujinimo imtinai ir „ColdFusion 2023“ iki 20-ojo atnaujinimo imtinai. Pataisytos versijos jau prieinamos: „ColdFusion 2025 Update 10“ ir „ColdFusion 2023 Update 21“. Kol kas „Adobe“ teigia nefiksavusi realių atakų „laukinėje gamtoje“ — bet būtent tokiu momentu langas tarp lopo išleidimo ir masinio išnaudojimo yra trumpiausias ir pavojingiausias.

Verta suprasti, kodėl 10.0 balas apskritai retas ir toks iškalbingas. Maksimalų įvertį CVSS skalėje spraga gauna tik tada, kai sutampa keli blogiausi scenarijai vienu metu: ataka vykdoma per tinklą, nereikia jokių teisių ar naudotojo veiksmų, o poveikis konfidencialumui, vientisumui ir prieinamumui — visiškas. Kitaip tariant, tai nėra „reikėtų atnaujinti artimiausiu metu“ tipo įspėjimas — tai „atnaujinti dabar, kol niekas neparašė viešo išnaudojimo įrankio“ situacija. O tokie įrankiai po biuletenio paskelbimo neretai pasirodo per kelias dienas.

Kas apskritai yra „ColdFusion“

„ColdFusion“ — viena seniausių iki šiol gyvų serverinių žiniatinklio platformų. Ją dar 1995-aisiais sukūrė broliai Allaire, vėliau ji perėjo „Macromedia“, o galiausiai — „Adobe“ rankas. Tai serverio pusės kalba ir aplikacijų serveris, ant kurio bendrovės kūrė vidines ir viešas svetaines, klientų portalus, formas, ataskaitų sistemas.

Nors į naujus projektus jos jau seniai niekas nesirenka, „ColdFusion“ toli gražu nemirė. Ji vis dar sukasi po daugybe „legacy“ verslo sistemų — draudimo bendrovių portaluose, bankų vidinėse aplikacijose, valstybinių įstaigų svetainėse, universitetuose. Būtent todėl kiekviena kritinė jos spraga yra tokia jautri: kalbame apie sistemas, kurios dažnai veikia metų metus be didesnės priežiūros, bet vis dar tvarko realius duomenis.

Kodėl būtent „ColdFusion“ nuolat atsiduria taikinyje

Ši istorija ne pirma. 2023-iaisiais spraga CVE-2023-26360 — netinkamo prieigos valdymo klaida, taip pat vedusi į kodo vykdymą — buvo įtraukta į JAV kibernetinio saugumo agentūros CISA „Aktyviai išnaudojamų spragų“ katalogą. CISA tuomet paskelbė įspėjimą po to, kai užpuolikai per ją įsilaužė į JAV federalinės vykdomosios valdžios įstaigos serverius. Analizė parodė, kad bent du vieši serveriai buvo kompromituoti 2023 m. birželį–liepą — pirmasis prisijungimas prie viešo žiniatinklio serverio, veikusio sena „ColdFusion“ versija, buvo gautas jau birželio 26 d.

Modelis kartojasi neatsitiktinai. „ColdFusion“ serveriai dažnai yra tiesiogiai išstatyti į internetą, jų administravimo skydeliai — pasiekiami nuotoliu, o pačios spragos leidžia be autentifikacijos vykdyti kodą. Užpuolikui tai idealus taškas įsitvirtinti tinkle: vienas neužlopytas serveris tampa duris atveriančiu pamatu tolesnei atakai — nuo duomenų vagystės iki šifruojančio išpirkos viruso.

Ką tai reiškia Lietuvos verslui

Praktinis klausimas kiekvienam, kas turi ar prižiūri „ColdFusion“ aplikaciją, yra paprastas: ar žinote, kad ją apskritai turite? Didžioji „legacy“ platformų rizika ne techninė, o organizacinė — sistemos, kurios „tiesiog veikia“, dažnai iškrenta iš atnaujinimų sąrašų, o kartais net iš IT inventoriaus. Todėl pirmas žingsnis — patikrinti, ar infrastruktūroje kur nors nesisuka „ColdFusion 2023“ ar „2025“, ir su kokiu atnaujinimo lygiu.

Antra — nedelsiant diegti pataisytas versijas (Update 10 arba Update 21). Trečia — apriboti administravimo sąsajų (pavyzdžiui, CFIDE administratoriaus skydelio) prieigą iš viešo interneto: dažnu atveju būtent laisvai pasiekiamas administravimo kelias paverčia spragą realiai išnaudojama. Ketvirta — jei serveris dengiamas žiniatinklio aplikacijų ugniasiene (WAF), verta įsitikinti, kad ji atnaujinta ir stebi būtent failų įkėlimo bei kelio perėjimo bandymus.

Bet svarbiausia pamoka platesnė. „ColdFusion“ atvejis — tai priminimas, kad techninė skola turi savo saugumo kainą. Kiekviena sena, bet vis dar internete kabanti sistema yra atviras klausimas: kas atsakingas už jos lopymą ir ar kas nors apskritai stebi, kada dėl jos išleidžiamas skubus biuletenis? Verslui, kuris paveldi ar toliau eksploatuoja senas platformas, atsakymas negali būti „kol veikia — neliesk“. Nes veikia jos, deja, ir užpuolikams.