Adobe ColdFusion のパストラバーサルの脆弱性（CVE-2013-0629）

何が起きた

Adobe ColdFusion に、本来は入れないはずの制限されたディレクトリ（フォルダ）に、権限のない人がアクセスできてしまう弱点（ディレクトリトラバーサル）が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。NVD の説明では、パスワードが設定されていない場合に起き、2013年1月に実際の攻撃で使われたとされています。Adobe も、この弱点を含む4件の弱点が ColdFusion の利用者への攻撃に使われているという報告を把握していると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe ColdFusion 10、9.0.2、9.0.1、9.0 を使っている組織が影響を受けます。Adobe によると、Windows、Macintosh、UNIX のすべてが対象です。

何をすればいい

Adobe のセキュリティ情報 APSB13-03 で公開されたセキュリティ修正（hotfix）を、Adobe の手順どおりに適用してください。あわせて Adobe は、CFIDE、CFIDE/adminapi、webroot の各ディレクトリにある出どころの分からないファイルやスケジュールされたタスクを調べ、怪しいものは削除するよう案内しています。さらに Adobe は、RDS（リモート開発サービス）に管理者とは別のユーザー名とパスワードを設定し、必要なければ RDS を無効にすること、/CFIDE/administrator、/CFIDE/adminapi、/CFIDE/componentutils の各ディレクトリへの外部からのアクセスを止めることも勧めています。

やることチェックリスト

• APSB13-03 の hotfix を適用する
• CFIDE などに不審なファイルがないか確認する
• 怪しいファイルやタスクを削除する

用語メモ

ディレクトリトラバーサル

ファイルの場所の指定を悪用して、本来は見られないフォルダやファイルにたどり着く攻撃や弱点のことです。

hotfix

特定の不具合や弱点を直すために、急いで配られる修正プログラムのことです。

スケジュールされたタスク

決まった時刻や間隔で、自動的に実行されるように登録された処理のことです。

RDS

ColdFusion の開発用の機能で、離れた場所からサーバーのファイルなどを扱えるようにする仕組みのことです。