Les détails de CISA sur les attaques jumelles des serveurs fédéraux via une faille non traitée de ColdFusion

CISA a publié des détails sur une agence fédérale dont au moins deux serveurs publics ont été compromis par des attaquants exploitant une vulnérabilité critique de Adobe ColdFusion. La vulnérabilité, identifiée sous le numéro CVE-2023-26360, a été dévoilée en mars et a été ajoutée peu de temps après au catalogue de vulnérabilités exploitées connues (KEV) de CISA, fixant un délai de correction au 5 avril. Dans un avis publié mardi, CISA a révélé que l’agence fédérale civile (FCEB) en question avait été attaquée avec succès en juin et en juillet, ce qui signifie que la vulnérabilité n’a pas été corrigée pendant plus de trois mois après l’échéance de CISA. CISA n’a pas répondu aux questions sur le fait que l’agence a désormais corrigé la vulnérabilité, qui était derrière l’attaque ou sa position sur l’échéance manquée. L’analyse des journaux a révélé que les deux serveurs identifiés comme compromis ont été attaqués dans ce qui semble être deux attaques distinctes. Dans les deux cas, les serveurs exécutaient des versions obsolètes du serveur de développement d’applications Web et étaient vulnérables à divers CVE, a déclaré CISA.