ColdFusion

Die Schwachstelle betrifft Adobe ColdFusion, eine Plattform zur Entwicklung und zum Betrieb von Webanwendungen. Der Defekt liegt in der Art, wie ColdFusion Daten verarbeitet, die zuvor in einen seriellen Datenstrom umgewandelt wurden: Die Anwendung stellt empfangene Daten wieder in Objekte zurück (Deserialisierung), ohne deren Herkunft ausreichend zu prüfen. Schiebt ein Angreifer hier eigens präparierte, nicht vertrauenswürdige Daten ein, kann er darüber eigenen Programmcode zur Ausführung bringen. Dieser Code läuft im Sicherheitskontext des aktuellen Benutzers, also mit dessen Rechten auf dem System. Besonders heikel ist, dass der Angriff keinerlei Mitwirkung eines Anwenders erfordert – er muss also weder auf einen Link klicken noch eine Datei öffnen. Betroffen sind Server, auf denen die verwundbaren ColdFusion-Ausgaben betrieben werden; da solche Systeme häufig Webdienste bereitstellen und aus dem Netz erreichbar sind, ergibt sich ein direkter Angriffsweg.