• ひとことでAdobe ColdFusion で、ログインを素通りされ管理画面を使われる弱点
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることAPSB13-03 のホットフィックスを適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2013-0632
製品Adobe ColdFusion
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-03
米国政府機関の対応期限2022-03-24
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-200（権限のない人への機密情報の露出）

何が起きた

Adobe ColdFusion で、RDS という機能に初期設定の空のパスワードでログインし、その状態を使って管理用のウェブ画面に入れてしまう弱点が見つかり、実際に悪用が確認されています。悪用されると、ログインの確認を素通り（認証回避）されて管理者として操作されたり、任意の（好きに選んだ）プログラムを動かされたりするおそれがあります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が RDS に空のパスワードでログインする → 2. その状態で管理用の画面に入る → 3. 管理者として操作できるようになる → 4. 任意のプログラムを動かされるおそれがある1攻撃者が RDS に空のパスワードでログインする2その状態で管理用の画面に入る3管理者として操作できるようになる4任意のプログラムを動かされるおそれがある攻撃の流れ: 1. 攻撃者が RDS に空のパスワードでログインする → 2. その状態で管理用の画面に入る → 3. 管理者として操作できるようになる → 4. 任意のプログラムを動かされるおそれがある1攻撃者が RDS に空のパスワードでログインする2その状態で管理用の画面に入る3管理者として操作できるようになる4任意のプログラムを動かされるおそれがある攻撃の流れ: 1. 攻撃者が RDS に空のパスワードでログインする → 2. その状態で管理用の画面に入る → 3. 管理者として操作できるようになる → 4. 任意のプログラムを動かされるおそれがある1攻撃者が RDS に空のパスワードでログインする2その状態で管理用の画面に入る3管理者として操作できるようになる4任意のプログラムを動かされるおそれがある

誰が影響を受ける

NVD の説明では、Adobe ColdFusion 9.0、9.0.1、9.0.2、10 が影響を受けます。Adobe のセキュリティ情報 APSB13-03 でも、Windows、Macintosh、UNIX 向けの ColdFusion 10、9.0.2、9.0.1、9.0 が対象とされています。

何をすればいい

Adobe は APSB13-03 で、これらの版向けの修正（ホットフィックス）を出しています。あわせて、CFIDE、CFIDE/adminapi、ウェブの公開フォルダに、出どころの分からないファイルや予定された処理（スケジュールタスク）がないか調べ、怪しいファイルは消すよう案内しています。RDS には管理者とは別のユーザー名とパスワードを設定し、不要なら RDS を無効にすること、/CFIDE/administrator などへの外からのアクセスを止めることも勧めています。なお、Adobe のサポート終了の一覧では ColdFusion 9 と 10 はサポートが終わっているため、Adobe の公式の案内を確認して、サポートのある版に置き換えてください。

やることチェックリスト

  • APSB13-03 のホットフィックスを適用する
  • RDS は不要なら無効にする
  • CFIDE にある不明なファイルを調べて消す

用語メモ

RDS
Remote Development Services の略で、ColdFusion を離れた場所から開発・操作するための機能です。
認証回避 用語集で見る
本来必要なログインなどの確認を、すり抜けて通ってしまうことです。
ホットフィックス 用語集で見る
特定の不具合や弱点を直すために、メーカーが出す修正プログラムです。

次に読む

同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2026-48282）10.0 緊急CVSS v3.1Adobe ColdFusionで、ファイルの場所の確認不足から、遠隔でコードを実行される弱点です。同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2017-3066）9.8 緊急CVSS v3.1Adobe ColdFusion の部品に、外から命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe ColdFusion Authentication Bypass Vulnerability

概要

An authentication bypass vulnerability exists in Adobe ColdFusion which could result in an unauthorized user gaining administrative access.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る