Adobe ColdFusion: Path Traversal in RDS ermöglicht Lesezugriff auf das Dateisystem

Zusammenfassung

Adobe ColdFusion 2025 (bis 2025.0.13) und ColdFusion 2023 (bis 2023.0.25) enthalten eine Path-Traversal-Schwachstelle im Feature Remote Development Services (RDS) (CWE-22). Ein entfernter Angreifer kann ohne Authentifizierung beliebige Dateien und Verzeichnisse ausserhalb des vorgesehenen Bereichs lesen, was zur Offenlegung sensibler Daten führen kann. RDS ist ein Entwicklerfeature und wird in der Produktionskonfiguration und im Secure Profile standardmässig deaktiviert.

Betroffen

• Adobe ColdFusion 2025: Versionen 0 bis 2025.0.13
• Adobe ColdFusion 2023: Versionen 0 bis 2023.0.25

Behoben in

• Adobe ColdFusion 2025: Update auf 2025.0.14 oder neuer
• Adobe ColdFusion 2023: Update auf 2023.0.26 oder neuer

Umgehung

• RDS im ColdFusion Administrator unter Security > RDS deaktivieren (Dienst Enable RDS).
• Auf das Production Secure Profile wechseln, das RDS automatisch deaktiviert.
• Webzugriff auf das Verzeichnis /CFIDE entfernen oder einschränken.
• RDS lässt sich nicht zuverlässig allein über Firewall-Regeln blockieren, da es denselben Port wie der ColdFusion-Webserver nutzt.

Ausnutzung

• CISA-SSVC-Bewertung: keine Ausnutzung bekannt, nicht automatisierbar, partielle technische Auswirkung.
• Gemäss CVSS-Vektor sind weder Benutzerinteraktion noch Berechtigungen für den Angriff nötig; der Scope ist geändert.
• Öffentliche Berichte in den Recherchequellen dieses Eintrags sind vom Hersteller nicht bestätigt; Exponierung bis zum Patch als hoch behandeln.

Unsere Empfehlung

• ColdFusion 2025 auf 2025.0.14 oder neuer und ColdFusion 2023 auf 2023.0.26 oder neuer aktualisieren.
• RDS auf allen Produktions- und Internet-exponierten Servern deaktivieren oder das Production Secure Profile aktivieren.
• Prüfen, ob der ColdFusion-Webport aus dem Internet erreichbar ist, und diesen einschränken.
• Webserver- und ColdFusion-Logs auf RDS-Verbindungsversuche und ungewöhnliche Dateizugriffe prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-144 www.adobe.com
• Adobe: Security Remote Development Services (RDS) guides.adobe.com
• Adobe ColdFusion 2025 Lockdown Guide www.adobe.com
• Adobe: Install the server configuration guides.adobe.com
• STIG Viewer: V-279042 www.stigviewer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:11.