CVE-2017-3066criticalbajo ataqueCWE-502

CVE-2017-3066: fallo crítico en Adobe ColdFusion ColdFusion 2016 Update 3 and…

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ColdFusion+ Monitorear earlier

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene prueba de concepto pública y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 9.8epss 91%
de la publicación al arma286 días
Publicada en NVD27 abr
1ª PoC+286d
CISA KEV+2860d
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

APT / EstatalRocke🇨🇳 MITRE ATT&CK
Acción exigida por CISAplazo federal: 2025-03-17

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Adobe ColdFusion contiene un defecto en cómo procesa objetos Java serializados de la biblioteca Apache BlazeDS, permitiendo que atacantes ejecuten código arbitrario en el servidor sin autenticación.

Detalle técnico

Una vulnerabilidad de deserialización Java (CWE-502) en Apache BlazeDS permite que atacantes remotos instancien objetos arbitrarios al enviar datos serializados malformados a versiones vulnerables de ColdFusion, resultando en ejecución de código remoto no autenticada.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Adobe ColdFusion 2016 Update 3 and earlier, ColdFusion 11 update 11 and earlier, ColdFusion 10 Update 22 and earlier have a Java deserialization vulnerability in the Apache BlazeDS library. Successful exploitation could lead to arbitrary code execution.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · Adobe ColdFusion ColdFusion 2016 Update 3 and earlier, ColdFusion 11 update 11 and earlier, ColdFusion 10 Update 22 and earlier
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.