Les détails du CISA sur les attaques par des serveurs fédéraux non patchés via une faille de ColdFusion.

L’ACSC a dévoilé des détails concernant un organisme fédéral dont au moins deux serveurs en accès public ont été compromis par des attaquants exploitant une vulnérabilité critique d’Adobe ColdFusion. Cette vulnérabilité, identifiée sous le numéro CVE-2023-26360, a été dévoilée en mars et a été ajoutée peu de temps après au catalogue de vulnérabilités exploitées (KEV) de l’ACSC, fixant un délai de l’ACSC pour le 5 avril afin que les organismes puissent corriger le problème. Dans un avis publié mardi, l’ACSC a révélé que l’organisme fédéral civil exécutif (FCEB) en question avait été victime d’une attaque en juin et en juillet, ce qui signifie que la vulnérabilité n’a pas été corrigée pendant plus de trois mois après l’échéance de l’ACSC. L’ACSC n’a pas répondu aux questions concernant le fait que l’organisme ait maintenant corrigé la vulnérabilité, qui était derrière l’attaque ou sa position sur le délai manqué. L’analyse des journaux a révélé que les deux serveurs identifiés comme compromis ont été attaqués dans ce qui semble être deux attaques distinctes. Dans les deux cas, les serveurs exécutaient des versions obsolètes de la plate-forme de développement d’applications web et étaient vulnérables à divers CVE, a déclaré l’ACSC.