リモートホストで実行されているバージョンの Adobe ColdFusion に、認証バイパス脆弱性があります。RDS が無効化され、パスワード保護で構成されていない場合、ユーザー名やパスワードなしで管理者として認証を行う可能性があります。リモートの認証されていない攻撃者はこれを悪用して、ColdFusion Admninistrator インターフェイスに対する管理者アクセスを取得することができます。認証後、ホストに対して任意のファイルを書き込むことができ、任意のコードを実行することができます。

ColdFusion 10 のすべてのバージョンが影響を受けます。ColdFusion 9, 9.0.1 と 9.0.2 は、APSB13-03 のホットフィックスが適用され、RDS サーブレットへアクセスできるように web.xml が構成された場合のみ影響を受けます。

このプラグインは、.cfm ファイルを作成することでこの脆弱性を悪用して、任意のコードを実行します。

検出

Adobe ColdFusion 認証バイパス（APSB13-13）（intrusive check）

high Nessus プラグイン ID 66408

変更ログが見つかりません