Adobe ColdFusion の認証回避の脆弱性（CVE-2013-0625）

何が起きた

Adobe ColdFusion に、本人確認（認証）の仕組みをすり抜けて、権限のない人が管理者の権限を手に入れられてしまう弱点が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。NVD の説明では、パスワードが設定されていない場合に起き、任意の（攻撃者が好きに選べる）プログラムを実行される可能性もあるとされ、2013年1月に実際の攻撃で使われたと書かれています。Adobe も、この弱点を含む4件の弱点が ColdFusion の利用者への攻撃に使われているという報告を把握していると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe によると、この弱点は ColdFusion 9.0.2、9.0.1、9.0.0 に影響します。これらの版でサーバーを動かしている組織が対象です。

何をすればいい

Adobe のセキュリティ情報 APSB13-03 で公開されたセキュリティ修正（hotfix）を、Adobe の手順どおりに適用してください。あわせて Adobe は、CFIDE、CFIDE/adminapi、webroot の各ディレクトリにある出どころの分からないファイルやスケジュールされたタスクを調べ、怪しいものは削除するよう案内しています。さらに Adobe は、RDS（リモート開発サービス）に管理者とは別のユーザー名とパスワードを設定し、必要なければ RDS を無効にすること、/CFIDE/administrator、/CFIDE/adminapi、/CFIDE/componentutils の各ディレクトリへの外部からのアクセスを止めることも勧めています。

やることチェックリスト

• APSB13-03 の hotfix を適用する
• CFIDE などに不審なファイルがないか確認する
• 怪しいファイルやタスクを削除する

用語メモ

認証 用語集で見る

パスワードなどを使って、相手が本当に本人かどうかを確かめる仕組みのことです。

hotfix 用語集で見る

特定の不具合や弱点を直すために、急いで配られる修正プログラムのことです。

スケジュールされたタスク

決まった時刻や間隔で、自動的に実行されるように登録された処理のことです。

RDS

ColdFusion の開発用の機能で、離れた場所からサーバーのファイルなどを扱えるようにする仕組みのことです。