ColdFusion Bypass - Vulnerability disclosure in ColdFusion | BYPASS CVE-2023-29298

É um bypass do bloqueio de acesso a endpoints administrativos do Adobe ColdFusion, que por sua vez contorna a correção anterior para CVE-2023-29298. Não gera execução remota de código por si só, mas remove a barreira que protege telas e componentes CFC/CFM do administrador — e foi usada em campanhas reais encadeada com falhas de deserialização para conseguir RCE completo em servidores expostos. A CISA adicionou ao catálogo KEV em julho de 2023, antes mesmo da publicação formal da CVE pela Adobe em setembro, sinal de que a exploração em massa já estava em curso quando o problema foi identificado.

A causa raiz é Improper Access Control (CWE-284): o ColdFusion mantém uma lista de caminhos/endpoints administrativos (CFM e CFC sob áreas como CFIDE) que deveriam ser bloqueados para requisições não autenticadas vindas de fora do host local. Em maio de 2023 a Adobe corrigiu esse bloqueio na CVE-2023-29298, mas a implementação comparava o caminho da requisição de forma pouco robusta.

CVE-2023-38205 é exatamente o bypass dessa correção: pesquisadores (Rapid7, Project Discovery) demonstraram que manipulando a estrutura do path da URL — segmentos ou separadores adicionais que o filtro de controle de acesso não normaliza antes de comparar — é possível fazer a requisição chegar ao endpoint administrativo como se fosse uma rota diferente, driblando a checagem sem nunca deixar de resolver para o recurso protegido.

O atacante não controla dados de aplicação nem payload de deserialização nesta falha isolada; ele controla apenas a forma do caminho da requisição HTTP. Isso é suficiente para expor endpoints que, por design, deveriam estar reservados ao administrador ou a chamadas internas — e alguns desses endpoints administrativos aceitam entradas que alimentam outras vulnerabilidades (como as de deserialização), o que torna o impacto real muito maior do que sugere o vetor isolado.

O vetor é rede, sem autenticação e sem interação do usuário (AV:N/PR:N/UI:N no vetor CVSS), o que explica a facilidade de scanning em massa: basta enviar requisições HTTP manipuladas para a instância ColdFusion exposta na internet. Não há pré-condição de configuração exótica — qualquer instalação vulnerável e alcançável pela rede está exposta ao bypass, o único requisito prático é a versão não corrigida.

Sozinha, a falha só entrega acesso ao endpoint administrativo (leitura/uso de funcionalidades CFM/CFC restritas — impacto de confidencialidade, sem integridade nem disponibilidade no vetor). O dano observado em campanha real veio de encadear esse bypass com outra falha (deserialização insegura, corrigida junto no mesmo boletim) para obter execução remota de código, com atacantes instalando webshells em servidores ColdFusion expostos publicamente logo após a divulgação em julho de 2023.

A inclusão no KEV da CISA com prazo de 20 dias (adicionado em 20/07/2023, due date 10/08/2023) confirma exploração ativa documentada por agências e por pesquisadores de segurança que observaram scanning e exploração em massa contra instâncias ColdFusion na internet antes mesmo da CVE ganhar descrição pública detalhada.

A correção do fornecedor está no boletim APSB23-47: atualizar para ColdFusion 2018 Update 19, 2021 Update 9 ou 2023 Update 3 (os ramos correspondentes à versão em uso). A Adobe recomenda aplicar o boletim junto com as demais correções do mesmo pacote de atualização, já que várias falhas relacionadas (incluindo a de deserialização usada em encadeamento) foram corrigidas no mesmo ciclo.

Se a atualização imediata não for possível, restringir o acesso de rede ao ColdFusion — bloqueando exposição direta à internet e limitando quem alcança os endpoints administrativos (CFIDE e caminhos relacionados) a redes internas ou VPN — reduz a superfície de ataque, mas não é substituto do patch: o bypass é justamente sobre falha no controle de acesso da aplicação, não algo que uma regra de rede genérica cubra com segurança total. Regras de WAF que normalizam e bloqueiam variações de path para os endpoints administrativos protegidos ajudam como paliativo, mas exigem manutenção cuidadosa porque a própria falha existe por normalização inadequada de path — um filtro mal ajustado repete o mesmo erro.

Não funciona como mitigação: aplicar apenas a correção anterior (CVE-2023-29298) sem atualizar para as versões do APSB23-47, já que esta CVE é exatamente o bypass daquela correção.

Procurar em logs de acesso web requisições para caminhos administrativos do ColdFusion (área CFIDE, endpoints administrativos CFM/CFC) que retornaram código de sucesso (200) em vez do bloqueio esperado (403/401), especialmente com variações incomuns na estrutura do path (segmentos extras, barras duplicadas ou codificação atípica) — indício de tentativa de bypass do controle de acesso. Presença de webshells em diretórios do ColdFusion ou processos filho anômalos do serviço ColdFusion (cfusion) são sinal de exploração bem-sucedida encadeada com a falha de RCE.

Como o bypass em si não deixa payload malicioso — apenas contorna uma checagem —, não há uma assinatura única e confiável de "tentativa"; o sinal mais forte é o resultado (acesso concedido a endpoint que deveria estar bloqueado) combinado com atividade pós-exploração típica de webshell ou execução de comando via ColdFusion.