BDU:2022-04097

Опубликовано: 04 янв. 2013

Источник: fstec

CVSS3: 9.6

CVSS2: 10

EPSS Критический

Описание

Уязвимость компонента administrator.cfc веб-интерфейса программной платформы ColdFusion связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности или выполнить произвольный код

Вендор

Adobe Systems Inc.

Наименование ПО

ColdFusion

Версия ПО

9.0 (ColdFusion)

9.0.1 (ColdFusion)

9.0.2 (ColdFusion)

10 (ColdFusion)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,6)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.adobe.com/support/security/advisories/apsa13-01.html

Организационные меры:

1) Настройте имя пользователя и пароль для удаленных служб разработки (RDS). Эти учетные данные должны отличаться от учетных данных администратора. После настройки имени пользователя и пароля пользователи должны отключить RDS.

2) Отключите внешний доступ к следующим каталогам для всех размещенных сайтов:

/CFIDE/administrator

/CFIDE/adminapi

/CFIDE/componentutils

3) Удалите все неизвестные или ненужные компоненты или шаблоны ColdFusion из каталогов CFIDE или webroot.

4) Настройте ограничения контроля доступа для интерфейса администратора и внутренних приложений через консоль администратора (в ColdFusion версии 10) или в рамках механизмов управления доступом вашего веб-сервера для версий 9.0.2 и ниже.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-0632
CVE

EPSS

Процентиль: 100%

0.92249

Критический

9.6 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2013-0632

CVSS3: 9.8

nvd

около 13 лет назад

administrator.cfc in Adobe ColdFusion 9.0, 9.0.1, 9.0.2, and 10 allows remote attackers to bypass authentication and possibly execute arbitrary code by logging in to the RDS component using the default empty password and leveraging this session to access the administrative web interface, as exploited in the wild in January 2013.

GHSA-8xf7-v5jv-237f