CVE-2010-2861とは？Adobe ColdFusionの脆弱性をわかりやすく解説

ひとことでAdobe ColdFusion の管理画面から、サーバー上のファイルを読まれる弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることColdFusion のバージョンを確かめる

基本情報（データから表示）

CVE番号	CVE-2010-2861
製品	Adobe ColdFusion
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-03-25
米国政府機関の対応期限	2022-04-15
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

Web アプリを動かすための製品 Adobe ColdFusion の管理者用の画面（administrator console）に、ディレクトリトラバーサルの弱点がありました。ネットワーク経由で、ログインなしの攻撃者が、locale という値を細工して送ることで、サーバー上の任意のファイル（攻撃者が好きに選べるファイル）を読み出せるおそれがあります。CISA の KEV に悪用が確認された脆弱性として載っており、ランサムウェアの攻撃での利用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Adobe ColdFusion 9.0.1 以前が影響を受けます。Adobe の勧告（APSB10-18）では、Windows、Macintosh、UNIX 向けの ColdFusion 8.0、8.0.1、9.0、9.0.1 と、それ以前のバージョンが対象とされています。

何をすればいい

Adobe は、影響を受ける ColdFusion の利用者に、勧告で示した技術文書の手順で修正（ホットフィックス）を当てるよう案内しています。ColdFusion を使っている場合は、修正が適用されているか、または新しいバージョンに更新されているかを確認してください。詳しくは公式の案内を確認してください。

やることチェックリスト

ColdFusion のバージョンを確かめる
APSB10-18 の手順で修正を当てる
修正が当たっているか確かめる

用語メモ

ディレクトリトラバーサル用語集で見る: ファイルの場所の指定を細工して、本来は見せない場所にあるファイルを読み出す攻撃のことです。
ランサムウェア用語集で見る: データを暗号化して使えなくし、元に戻す代わりに身代金を求める不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2026-48282）10.0 緊急CVSS v3.1Adobe ColdFusionで、ファイルの場所の確認不足から、遠隔でコードを実行される弱点です。同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2017-3066）9.8 緊急CVSS v3.1Adobe ColdFusion の部品に、外から命令を実行される弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe ColdFusion Directory Traversal Vulnerability

概要

A directory traversal vulnerability exists in the administrator console in Adobe ColdFusion which allows remote attackers to read arbitrary files.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Adobe ColdFusion のパストラバーサルの脆弱性（CVE-2010-2861）