Opnieuw maken aanvallers misbruik van een kritieke kwetsbaarheid in Adobe Coldfusion voor het aanvallen van systemen, zo meldt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Adobe kwam afgelopen maart met een beveiligingsupdate voor het beveiligingslek, dat een aanvaller willekeurige code op systemen laat uitvoeren.

ColdFusion is een platform voor het ontwikkelen van webapplicaties. In het verleden zijn kwetsbaarheden in ColdFusion vaker gebruikt voor aanvallen op ColdFusion-applicatieservers. De laatste update voor een actief aangevallen kwetsbaarheid verscheen begin 2019. Begin dit jaar waarschuwde Adobe echter voor een actief misbruikt zerodaylek in de software. Vervolgens volgde in juli een update voor een andere zeroday en bleken aanvallers in juli ook actief misbruik te maken van twee kwetsbaarheden waarvoor Adobe een week eerder updates had uitgebracht.

Nu laat het CISA weten dat aanvallers ook actief misbruik maken van een andere kwetsbaarheid, aangeduid als CVE-2023-26359. Het gaat om een 'deserialization of untrusted data' kwetsbaarheid. Hierbij gebruikt de applicatie data en maakt daar een object van. Wanneer de applicatie niet goed omgaat met data die door een aanvaller wordt ingevoerd kan dit leiden tot het uitvoeren van code. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Organisaties wordt aangeraden om naar de nieuwste versie van ColdFusion te updaten.