Błąd w bibliotece BlazeDS w Adobe ColdFusion (CVE-2017-3066) pozwala wykonać kod na serwerze bez hasła. CISA w 2025 roku potwierdziła ataki. Znajdź systemy na ColdFusion, zaktualizuj je lub odetnij od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które mają starsze strony, panele zamówień lub systemy wewnętrzne zbudowane na Adobe ColdFusion, często wdrożone lata temu przez zewnętrznego wykonawcę. Werdykt: jeśli serwer działa na ColdFusion 2016 do Update 3, ColdFusion 11 do Update 11 lub ColdFusion 10 do Update 22, zaktualizuj go albo wyłącz w tym tygodniu, bo CISA w 2025 roku potwierdziła ataki na tę lukę sprzed ośmiu lat, a kod ataku jest publiczny.
Amerykańska agencja CISA 24 lutego 2025 roku dopisała podatność CVE-2017-3066 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w bibliotece Apache BlazeDS wbudowanej w serwer aplikacji Adobe ColdFusion. Serwer rozpakowuje przysłane dane bez sprawdzenia, co zawierają, więc napastnik z internetu może uruchomić na nim dowolny kod, bez hasła i bez udziału pracowników.
Adobe wydał poprawkę 25 kwietnia 2017 roku (biuletyn APSB17-14). Osiem lat później CISA potwierdziła ataki, co oznacza, że wciąż działa wystarczająco dużo niezaktualizowanych serwerów, żeby się to opłacało. Termin CISA minął 17 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2017-3066 |
Data dodania do CISA KEV | 2025-02-24 |
Termin naprawy wg CISA | 2025-03-17 (21 dni od wpisu) |
Produkt | Adobe ColdFusion (serwer aplikacji), biblioteka Apache BlazeDS |
Wersje zagrożone | ColdFusion 2016 Update 3 i starsze, ColdFusion 11 Update 11 i starsze, ColdFusion 10 Update 22 i starsze; wszystkie platformy |
Wersje bezpieczne | ColdFusion 2016 Update 4, ColdFusion 11 Update 12, ColdFusion 10 Update 23 lub nowsze aktualizacje. Są to stare wydania: warto sprawdzić u producenta, czy nadal są wspierane |
Typ podatności | Deserializacja niezaufanych danych (Java) prowadząca do wykonania dowolnego kodu; CWE-502 (zgodnie NVD, CISA i producent) |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). CISA: 9.8 (CVSS 3.1, KRYTYCZNA). NVD w skali CVSS 2.0: 10.0. Adobe: priorytet 2, waga „ważna”. Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika, pełny wpływ |
Różnica „ważna” u Adobe i „krytyczna” w NVD ma proste wyjaśnienie: priorytet Adobe mówi, jak pilnie instalować poprawkę, biorąc pod uwagę ataki widoczne w dniu biuletynu (w 2017 roku ich nie było), a CVSS mówi, jak poważne są skutki udanego ataku.
Wyobraź sobie magazyn, który rozpakowuje każdą przysłaną paczkę i wykonuje instrukcję znalezioną w środku, nie sprawdzając nadawcy. Dopóki przychodzą zamówienia, wszystko działa. Kiedy przyjdzie paczka z kartką „wydaj zawartość regału numer cztery bocznymi drzwiami”, magazyn to zrobi, bo od tego jest.
Tak działa ten błąd. Programy przesyłają sobie złożone dane spakowane w jeden ciąg znaków, a odbiorca odtwarza z nich obiekty. Biblioteka BlazeDS w ColdFusion odtwarzała wszystko, co dostała, nie sprawdzając, czy to dane, których się spodziewa. Spreparowana paczka powoduje, że serwer uruchamia program napastnika. Firma często nawet nie wie, że ma tę bibliotekę, bo przyszła „w pakiecie” z ColdFusion, a ColdFusion z systemem zbudowanym lata temu.
💡 ColdFusion to serwer aplikacji Adobe, na którym działają strony i systemy firmowe. Apache BlazeDS to biblioteka innego autora wbudowana w ColdFusion do wymiany danych. Deserializacja to odtwarzanie obiektów programu z przesłanych danych; gdy dane nie są sprawdzane, można przemycić w nich polecenia. CVSS to skala powagi luki od 0 do 10. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwer odbiera dane z internetu | Przetwarza tylko oczekiwane dane | Odtwarza spreparowane obiekty i wykonuje kod napastnika |
Panel zamówień zbudowany w 2014 roku | „Działa, nikt go nie rusza” | Stoi na komponencie ze znaną luką |
Wykonawca systemu | Dba o aktualizacje | Często już nie istnieje |
Priorytet 2 w biuletynie Adobe | Aktualizacja może poczekać | Luka jest dziś masowo atakowana |
Obietnica „zabezpieczymy bez aktualizacji” | Uspokaja | Producent nie podał obejścia bez poprawki |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery ColdFusion są zwykle dostępne z internetu, bo obsługują strony i panele. Atak nie wymaga konta, a CISA ocenia go jako możliwy do zautomatyzowania; kod ataku jest publicznie dostępny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów ColdFusion w internecie | Lista celów |
2. Wysłanie paczki | T+sekundy | Wysłanie spreparowanych danych do BlazeDS przy użyciu publicznego kodu ataku | Kod napastnika działa na serwerze |
3. Utrwalenie | T+minuty | Wgranie powłoki webowej lub narzędzia zdalnego dostępu | Stały dostęp |
4. Kradzież danych | T+godziny | Pobranie bazy klientów, zamówień i plików z serwera | Wyciek danych |
5. Ruch w głąb sieci | T+dni | Przejście z serwera do innych systemów firmy | Szerszy dostęp |
6. Wykorzystanie | T+dni do tygodni | Szyfrowanie, podmiana strony, wykorzystanie serwera do kolejnych ataków | Przestój, wyciek, utrata reputacji |
Mogę Ci jakoś pomóc?
Stare systemy na ColdFusion często działają latami bez opieki, bo spełniają swoją funkcję. Luka daje każdemu z internetu wykonanie kodu na serwerze, kod ataku jest publiczny, a EPSS stawia ją w górnych 0,2% wszystkich podatności. Problemem bywa nie tyle brak poprawki, co brak osoby, która umie ją wdrożyć.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie panelu zamówień lub strony, pilna migracja systemu | Dni | 30 tys. do 300 tys. PLN (przestój, awaryjna migracja) |
Bezpieczeństwo danych | Wyciek bazy klientów, zamówień i dokumentów z serwera | Godziny | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty odtworzenia, przepisania systemu, utracone zamówienia | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Podmieniona strona, wyciek danych klientów | Tygodnie do miesięcy | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z niezaktualizowanym
Adobe ColdFusion dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne (wykonanie kodu bez hasła, publiczny kod ataku, atak automatyzowalny, EPSS około 91%); firma bez ColdFusion lub z zaktualizowanym i wspieranym wydaniem jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy któryś firmowy system (strona, panel, system wewnętrzny) działa na ColdFusion, i jaka jest dokładna wersja oraz numer aktualizacji | Dziś | CTO / dział IT |
2 | 🔴 NATYCHMIAST | Serwery z podatnymi wersjami odciąć od internetu lub ograniczyć dostęp do zaufanych adresów | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zainstalować aktualizację (2016 Update 4, 11 Update 12, 10 Update 23 lub nowszą) albo zaplanować wyłączenie systemu | Do 7 dni | Administrator / wykonawca systemu |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem śladów włamania: nieznane pliki w katalogach aplikacji, konta, procesy, zadania | Do 7 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zastosować ustawienia z przewodnika hartowania konfiguracji dla danego wydania (zalecenie Adobe) | Do 14 dni | Administrator |
6 | 🟡 WAŻNIE | Sprawdzić, czy używane wydanie ColdFusion jest nadal wspierane przez Adobe; jeśli nie, zaplanować migrację | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Spisać wszystkie firmowe systemy: technologia, wykonawca, data ostatniej aktualizacji | Do 30 dni | CTO |
Adobe wydał poprawki w 2017 roku i poza nimi zaleca ustawienia z przewodników hartowania konfiguracji. Biuletyn nie zawiera obejścia działającego bez instalacji poprawki. CISA dopuszcza jako alternatywę zaprzestanie używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie systemu, jeśli korzysta z niego kilka osób | Wysoka | Łatwa technicznie, wymaga decyzji biznesowej |
Odcięcie serwera od internetu, dostęp tylko przez VPN | Wysoka wobec skanowania masowego | Średnia |
Reguły WAF blokujące znane wzorce ataku na BlazeDS | Średnia | Średnia |
Przewodnik hartowania konfiguracji Adobe (bez poprawki) | Niska do średniej: nie zastępuje aktualizacji | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o technologii systemów | „Panel działa, nie wiemy na czym” | Spis systemów z wersjami i wykonawcami |
ColdFusion | Podatna wersja dostępna z internetu | Zaktualizowany, odcięty lub wyłączony |
Konfiguracja | Domyślna | Zgodna z przewodnikiem hartowania |
Wiedza o włamaniu | Brak | Sprawdzony serwer |
Zgodność z wymogami | Ponad 18 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak automatyzowalny, wpływ całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD i CISA (CVSS 3.1); 10.0 wg NVD (CVSS 2.0); Adobe: priorytet 2 |
PoC dostępny publicznie? | TAK: NVD oznacza jeden z odnośników jako zawierający kod ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Źródło błędu | Biblioteka Apache BlazeDS wbudowana w ColdFusion |
Prognoza EPSS | 0,906 (ok. 91%), górne 0,2% wszystkich podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2017-3066
CVSS 3.1 (NVD, CISA) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (prawdopodob.) ~91% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
Kod ataku publiczny TAK ████████████████████ wg NVD
Mogę Ci jakoś pomóc?
2017-04-25 Adobe publikuje biuletyn APSB17-14 z poprawkami
2017-04-27 Publikacja CVE-2017-3066 w NVD
2025-02-24 CISA dodaje lukę do katalogu KEV (8 lat po poprawce)
2025-03-17 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 18 miesięcy od terminu CISA, ponad 9 lat od poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: helpx.adobe.com: APSB17-14 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2017-3066 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dział IT i wykonawców, czy któryś firmowy system działa na ColdFusion | CTO | DZISIAJ |
2 | Uzyskać dokładną wersję i numer aktualizacji każdego serwera ColdFusion | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie podatnych serwerów od internetu | CTO | DZISIAJ |
4 | Ustalić, ile osób korzysta z systemu i czy można go wyłączyć | CFO | DO JUTRA |
5 | Porównać koszt aktualizacji i utrzymania z kosztem wyłączenia lub migracji | CFO | DO JUTRA |
6 | Zlecić sprawdzenie serwera pod kątem śladów włamania | CTO | DO JUTRA |
7 | Sprawdzić, czy licencja ColdFusion obejmuje aktualizacje i wsparcie | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy którykolwiek nasz system działa na Adobe ColdFusion? | TAK / NIE | 🔴 |
2 | Jaka jest dokładna wersja i numer aktualizacji ColdFusion? | [wersja] | 🔴 |
3 | Czy serwer ColdFusion jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy sprawdzono serwer pod kątem śladów włamania? | TAK / NIE | 🟠 |
5 | Kto jest wykonawcą systemu i czy nadal świadczy wsparcie? | [firma] | 🟠 |
6 | Czy nasze wydanie ColdFusion jest nadal wspierane przez Adobe? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio aktualizowano ten serwer? | [data] | 🟡 |
CVE-2017-3066 pozwala każdemu z internetu wykonać kod na serwerze Adobe ColdFusion przez bibliotekę BlazeDS, a CISA w 2025 roku potwierdziła ataki na tę lukę sprzed ośmiu lat. Zadaniem na dziś jest znalezienie systemów na ColdFusion i odcięcie podatnych od internetu, a na ten tydzień: aktualizacja, wyłączenie lub decyzja o migracji.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.