Trusted Design

CVE-2013-0629 の詳細

CVEの情報

説明:
Adobe ColdFusion 9.0, 9.0.1, 9.0.2, and 10, when a password is not configured, allows attackers to access restricted directories via unspecified vectors, as exploited in the wild in January 2013.

CVE更新日: 2013-01-09 01:55:03.553000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2022-03-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.657950000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2013-0629について、以下の観点から解説します。

1. 脆弱性の概要

Adobe ColdFusionにディレクトリトラバーサルの脆弱性が存在します。パスワードが設定されていない場合、攻撃者は特定の（未指定の）手段を用いて制限されたディレクトリにアクセスできる可能性があります。この脆弱性は2013年1月に実際に悪用されていることが確認されています。

1.1 影響

  • 攻撃者により、制限されたディレクトリへの不正アクセスを許す可能性があります。
  • 機密情報の漏洩やデータ侵害につながる可能性があります。
  • 本脆弱性は機密性に対し高い影響を与える可能性があります。

1.2 深刻度

  • CVSS v3 基本評価基準: 7.5 (重要/高)
    • 攻撃元区分: ネットワーク
    • 攻撃条件の複雑さ: 低
    • 攻撃に必要な特権レベル: 不要
    • 利用者の関与: 不要
    • 機密性への影響: 高
    • 完全性への影響: なし
    • 可用性への影響: なし
  • CVSS v2 基本評価基準: 4.3 (警告/中)
  • 深刻度: 高
  • EPSS確率: 81.81%（または66%）
  • 悪用状況: 2013年1月には既に実社会で活発に悪用されていることが確認されており、CISAのKnown Exploited Vulnerabilitiesカタログにも追加されています。
  • CWE ID: CWE-264 (Failure to restrict access to sensitive resources), CWE-287 (Improper Authentication)

2. 対象となる環境

本脆弱性はAdobe ColdFusionの製品自体に存在します。

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、Adobe ColdFusionが動作するすべてのプラットフォーム（Windows, Macintosh, UNIX）が影響を受けます。

  • Adobe ColdFusion 9.0
  • Adobe ColdFusion 9.0.1
  • Adobe ColdFusion 9.0.2
  • Adobe ColdFusion 10

2.2 影響を受ける設定

パスワードが設定されていない場合に脆弱性が悪用されます。具体的には、以下の設定が影響を受けます。

  • Remote Development Services (RDS) のパスワードが未設定の場合
  • Administratorの管理パスワードが未設定の場合

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、通常は制限されたディレクトリへの不正なアクセスが試行または成功していることを示すログエントリや、不審なファイルが生成されたり、データが漏洩したりする兆候が見られる可能性があります。しかし、特定の「兆候」として確立された情報については、公開情報からは明確に記述されていません。「不正なディレクトリへのアクセス」そのものが兆候となり得ます。

4. 推奨対策

4.1 本対策

  • ベンダーが提供するセキュリティパッチを適用し、Adobe ColdFusionを最新のセキュアなバージョンにアップグレードしてください。
  • 具体的には、Adobe Security Bulletin APSB13-03で提供される指示に従い、セキュリティホットフィックスを適用することが推奨されています。

4.2 暫定回避策（緩和策）

サポート対象外のバージョン（ColdFusion 8.x以前）を使用している場合や、パッチ適用までの間の一時的な対策として、以下の設定を実施してください。

  • Remote Development Services (RDS) のパスワードを設定し、パスワード保護を有効にする（RDSが無効になっている場合でも設定することが推奨されます）。
  • Administratorの管理パスワードを設定し、パスワード保護を有効にする。
  • 厳格なアクセス制御を実装し、定期的なセキュリティアセスメントを実施することで、リスクエクスポージャーをさらに低減できます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る