CVE-2018-4939

Falha de deserialização de dados não confiáveis (CWE-502) no Adobe ColdFusion que permite execução arbitrária de código sem autenticação, apenas com acesso de rede ao serviço. Está no catálogo KEV da CISA como vulnerabilidade com exploração confirmada em ambiente real, o que eleva sua prioridade de correção muito além do que o CVSS já indica.

A vulnerabilidade é uma deserialização insegura (CWE-502): o servidor ColdFusion aceita um objeto serializado enviado pelo cliente e o reconstrói em memória sem validar sua origem ou tipo antes de instanciá-lo. Em Java, esse padrão é perigoso porque o processo de desserialização pode disparar métodos (construtores, getters/setters, callbacks de ciclo de vida) de classes presentes no classpath da aplicação, e se existir alguma classe com efeito colateral explorável (uma 'gadget chain'), o atacante consegue transformar o objeto malicioso em execução de código no contexto do processo do servidor.

A descrição oficial da Adobe não detalha o endpoint ou protocolo específico afetado, e não temos a íntegra do advisory APSB18-14 para confirmar o vetor exato de entrada. É consistente com o tipo de falha classificada como CWE-502 pela CISA: o atacante controla o conteúdo do objeto serializado enviado ao servidor, e a classe vulnerável faz parte do runtime ou de bibliotecas incluídas na instalação padrão do ColdFusion.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica que a falha é explorável remotamente, sem qualquer autenticação ou interação do usuário, com baixa complexidade de ataque, e resulta em comprometimento total de confidencialidade, integridade e disponibilidade — perfil típico de RCE pré-autenticação.

Pré-requisito prático é acesso de rede ao serviço ColdFusion exposto (a porta/serviço específico não está detalhado nas fontes disponíveis). Não há indicação de necessidade de credenciais, configuração não padrão ou interação do usuário — o vetor de rede sem autenticação é o que torna essa CVE crítica em qualquer instalação exposta à internet ou a uma rede não segmentada.

A CISA incluiu a CVE-2018-4939 no catálogo KEV, confirmando exploração ativa em ambiente real, embora a entrada não especifique se há uso conhecido em campanhas de ransomware ('Unknown' no campo correspondente). Não temos detalhes técnicos publicados nas fontes lidas sobre a cadeia de gadgets específica usada pelos atacantes ou sobre payloads observados.

O resultado da exploração bem-sucedida, segundo a Adobe, é execução arbitrária de código no contexto do processo ColdFusion — tipicamente equivalente a comprometimento total do servidor de aplicação, incluindo acesso a dados de outras aplicações hospedadas no mesmo serviço.

A CISA determina como ação a aplicação das atualizações conforme as instruções do fornecedor, com prazo de correção definido (due date 2022-05-03 no catálogo KEV) para órgãos federais dos EUA sob a BOD 22-01 — um bom proxy de urgência para qualquer ambiente. O advisory oficial da Adobe (APSB18-14) é a fonte primária para a versão exata de correção; não temos o número de build da atualização listada nesse boletim para citar com segurança, então a orientação direta é consultar esse documento antes de declarar o ambiente corrigido.

Como o produto está em fim de vida para as linhas afetadas (ColdFusion 11 e versões anteriores a Update 6 da linha então corrente), a atualização de versão pode não ser trivial — pode exigir migração para uma linha suportada do ColdFusion, com testes de compatibilidade de aplicações legadas. Onde a atualização imediata não for viável, controles compensatórios reais incluem: restringir o acesso de rede ao serviço ColdFusion apenas a origens confiáveis, isolar a instância em segmento de rede sem exposição direta à internet, e desabilitar ou remover componentes que processam objetos serializados se não forem usados pela aplicação.

Não existe mitigação equivalente à correção via WAF genérico: como o vetor é deserialização binária de objetos Java, regras de assinatura tendem a ser frágeis e contornáveis por variações na cadeia de gadgets — útil como camada adicional, não como substituto do patch.

Não há assinatura de exploração documentada nas fontes disponíveis. Como o vetor é deserialização de objeto Java enviado ao servidor, sinais possíveis a investigar em logs de aplicação e WAF incluem requisições HTTP com corpos binários anômalos (payloads serializados) para endpoints do ColdFusion, processos filho inesperados gerados pelo processo do ColdFusion (indicativo de execução de comando pós-exploração), e erros de desserialização/stack traces relacionados a classes Java incomuns nos logs do servidor. Na ausência de IOCs publicados especificamente para essa CVE nas fontes consultadas, a presença no catálogo KEV deve ser tratada como sinal de que a exploração é viável e conhecida, mesmo sem assinatura de detecção confirmada aqui.