Adobe ColdFusion の認証回避の脆弱性（CVE-2013-0632）

何が起きた

Adobe ColdFusion で、RDS という機能に初期設定の空のパスワードでログインし、その状態を使って管理用のウェブ画面に入れてしまう弱点が見つかり、実際に悪用が確認されています。悪用されると、ログインの確認を素通り（認証回避）されて管理者として操作されたり、任意の（好きに選んだ）プログラムを動かされたりするおそれがあります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Adobe ColdFusion 9.0、9.0.1、9.0.2、10 が影響を受けます。Adobe のセキュリティ情報 APSB13-03 でも、Windows、Macintosh、UNIX 向けの ColdFusion 10、9.0.2、9.0.1、9.0 が対象とされています。

何をすればいい

Adobe は APSB13-03 で、これらの版向けの修正（ホットフィックス）を出しています。あわせて、CFIDE、CFIDE/adminapi、ウェブの公開フォルダに、出どころの分からないファイルや予定された処理（スケジュールタスク）がないか調べ、怪しいファイルは消すよう案内しています。RDS には管理者とは別のユーザー名とパスワードを設定し、不要なら RDS を無効にすること、/CFIDE/administrator などへの外からのアクセスを止めることも勧めています。なお、Adobe のサポート終了の一覧では ColdFusion 9 と 10 はサポートが終わっているため、Adobe の公式の案内を確認して、サポートのある版に置き換えてください。

やることチェックリスト

• APSB13-03 のホットフィックスを適用する
• RDS は不要なら無効にする
• CFIDE にある不明なファイルを調べて消す

用語メモ

RDS

Remote Development Services の略で、ColdFusion を離れた場所から開発・操作するための機能です。

認証回避

本来必要なログインなどの確認を、すり抜けて通ってしまうことです。

ホットフィックス

特定の不具合や弱点を直すために、メーカーが出す修正プログラムです。