إصلاحات أدوبي الحرجة تضع اثنين من ركائز الخوادم تحت المجهر
تم تصحيح ثغرات شديدة الخطورة في كل من ColdFusion وCampaign Classic، بما في ذلك عيوب قد تسمح بتنفيذ تعليمات برمجية عشوائية في عمليات النشر المكشوفة.
أصدرت أدوبي تحديثات أمنية حرجة لـ ColdFusion وCampaign Classic، في تذكير بأن المنصات الجانبية للخادم يمكن أن تحول خللا برمجيا واحدا إلى هدف عالي القيمة. ولا يتمثل القلق الأكبر في مجرد التعرض المبهم، بل في الخطر المحدد الذي تربطه أدوبي ببعض هذه العيوب: تنفيذ تعليمات برمجية عشوائية على الأنظمة المتأثرة. وفي فئة منتجات غالبا ما تقع خلف حركة مرور الويب والمصادقة وسير العمل الداخلي، فإن هذا يعد نتيجة خطيرة حتى قبل رصد أي استغلال فعلي في البرية.
حقائق سريعة
- قامت أدوبي بتصحيح ثغرات حرجة في ColdFusion وCampaign Classic.
- تم تصنيف سبعة من العيوب بدرجة خطورة 10/10.
- تقول أدوبي إن هذه الثغرات قد تؤدي إلى تنفيذ تعليمات برمجية عشوائية.
- ColdFusion هي منصة تطبيقات ويب تعمل على جانب الخادم ومبنية على Java وCFML.
- قد تتضمن عمليات نشر Campaign Classic مكونات محلية ومختلطة تحتاج إلى اهتمام منفصل بالتصحيح.
لماذا تهم دورة التصحيح هذه
ColdFusion ليست مجرد تطبيق ويب آخر. إنها منصة تعمل على جانب الخادم وتستخدم لتشغيل التطبيقات الديناميكية، ما يعني أن خللا خطيرا قد يقترب من تنفيذ التعليمات البرمجية والوصول إلى الملفات والمسارات الإدارية. ويورد تنبيه أدوبي الخاص بالمنتج مزيجا من أنواع التأثير، بما في ذلك تنفيذ تعليمات برمجية عشوائية ومشكلات أمنية أخرى، ولهذا ينبغي على المدافعين التعامل مع التحديث باعتباره أكثر من مجرد صيانة روتينية.
وتستحق Campaign Classic اهتماما مماثلا لسبب مختلف: فهي مرتبطة بتنسيق الحملات وسير عمل الرسائل، كما أن وثائق بنية أدوبي تظهر أن عمليات النشر قد تتضمن عدة مكونات بدلا من ملف تنفيذي أو خدمة واحدة. وهذا مهم من الناحية التشغيلية لأن التصحيح ومراجعة التعرض والمراقبة قد تحتاج إلى تغطية أكثر من طبقة واحدة من المكدس.
ما الذي يهم المهاجمين
الخطر التقني المركزي هنا هو تنفيذ تعليمات برمجية عشوائية. وبعبارة بسيطة، هذا يعني أن الثغرة قد تتيح للمهاجم جعل الخدمة تشغل تعليمات برمجية من اختياره. وإذا كانت منصة تواجه الخادم متاحة عبر الإنترنت، فقد يكون ذلك كافيا لتبرير التصحيح العاجل، حتى إذا لم يتم تأكيد أي استغلال. وبالنسبة إلى ColdFusion، تدرج أدوبي أيضا أنواع تأثير إضافية في تنبيهها، وهو ما يشير إلى أن المدافعين يجب ألا يفترضوا أن كل ثغرة في التنبيه تتصرف بالطريقة نفسها.
أما بالنسبة إلى Campaign Classic، فطريقة النشر مهمة. وتقول أدوبي إن التنبيه ينطبق على المكونات المحلية والمكونات المحلية في البيئات المختلطة، بينما كانت المثيلات المستضافة لدى أدوبي قد تمت معالجتها بالفعل. وهذا التمييز مهم لأنه يحد من نطاق ما تحتاج المؤسسات إلى فحصه، لكنه لا يقلل من الإلحاح بالنسبة إلى الأنظمة التي تديرها بنفسها.
حتى وقت كتابة هذا التقرير، لا تحدد المعلومات العامة بالكامل السبب الجذري التقني، ولا المستخدمين المتأثرين، ولا ما إذا كان قد حدث سرقة للبيانات أو اختراق. وتدعم المعلومات المتاحة تحليلا للمخاطر، لا ادعاء نهائيا بوقوع اختراق أوسع.
الخلاصة الدفاعية
الدرس العملي بسيط: المنتجات الجانبية للخادم التي تقع بالقرب من حركة مرور الويب وسير عمل العملاء تستحق تصحيحا سريعا، وجردا للإصدارات، ومراجعة للتعرض. وعلى المؤسسات التي تشغل ColdFusion أو Campaign Classic أن تؤكد الإصدارات المصححة، وتراجع نقاط النهاية المواجهة للإنترنت، وتتحقق من أن تبعيات بيئة التشغيل وإرشادات التحصين المحيطة بها محدثة. والدرس الأوسع في الأمن السيبراني هو أن الأخطاء الحرجة في منصات الأعمال نادرا ما تكون معزولة عن التطبيق وحده - بل يمكن أن تتحول إلى مشكلة ثقة بالنسبة إلى الأنظمة المبنية حولها.
TECHCROOK
جدار حماية مادي: يمكن لجهاز جدار حماية صغير أن يساعد في تقسيم الخدمات المواجهة للإنترنت، وتقييد الوصول الوارد، وإنشاء حد أوضح حول أحمال عمل الخوادم. وهو إضافة عملية للفرق التي تشغل تطبيقات مكشوفة، أو واجهات إدارة عن بعد، أو بيئات هجينة. ويُفضل إقرانه بالتصحيح، والمصادقة القوية، والمراجعات الدورية للإعدادات.
WIKICROOK
- تنفيذ التعليمات البرمجية عن بعد (RCE): خلل قد يتيح للمهاجم تشغيل تعليمات برمجية على النظام المستهدف.
- ColdFusion: منصة تطبيقات الخادم من أدوبي لبناء تطبيقات ويب ديناميكية.
- Campaign Classic: منصة إدارة الحملات من أدوبي المستخدمة في سير عمل التسويق والرسائل.
- تصعيد الامتيازات: الحصول على حقوق وصول أعلى مما ينبغي لمستخدم أو عملية أن تمتلكه.
- النشر المحلي: برمجيات يتم تثبيتها وإدارتها داخل بيئة المؤسسة نفسها.
