Adobe ColdFusion のパストラバーサルの脆弱性（CVE-2010-2861）

何が起きた

Web アプリを動かすための製品 Adobe ColdFusion の管理者用の画面（administrator console）に、ディレクトリトラバーサルの弱点がありました。ネットワーク経由で、ログインなしの攻撃者が、locale という値を細工して送ることで、サーバー上の任意のファイル（攻撃者が好きに選べるファイル）を読み出せるおそれがあります。CISA の KEV に悪用が確認された脆弱性として載っており、ランサムウェアの攻撃での利用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Adobe ColdFusion 9.0.1 以前が影響を受けます。Adobe の勧告（APSB10-18）では、Windows、Macintosh、UNIX 向けの ColdFusion 8.0、8.0.1、9.0、9.0.1 と、それ以前のバージョンが対象とされています。

何をすればいい

Adobe は、影響を受ける ColdFusion の利用者に、勧告で示した技術文書の手順で修正（ホットフィックス）を当てるよう案内しています。ColdFusion を使っている場合は、修正が適用されているか、または新しいバージョンに更新されているかを確認してください。詳しくは公式の案内を確認してください。

やることチェックリスト

• ColdFusion のバージョンを確かめる
• APSB10-18 の手順で修正を当てる
• 修正が当たっているか確かめる

用語メモ

ディレクトリトラバーサル

ファイルの場所の指定を細工して、本来は見せない場所にあるファイルを読み出す攻撃のことです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに身代金を求める不正なプログラムです。