Trusted Design

CVE-2013-0632 の詳細

CVEの情報

説明:
administrator.cfc in Adobe ColdFusion 9.0, 9.0.1, 9.0.2, and 10 allows remote attackers to bypass authentication and possibly execute arbitrary code by logging in to the RDS component using the default empty password and leveraging this session to access the administrative web interface, as exploited in the wild in January 2013.

CVE更新日: 2013-01-17 00:55:01.200000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.936030000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2013-0632に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

Adobe ColdFusionのadministrator.cfcコンポーネントにおける認証バイパスの脆弱性です。リモートの攻撃者が、RDSコンポーネントのデフォルトの空のパスワードを利用してログインし、そのセッションを悪用して管理Webインターフェースにアクセスすることで、認証をバイパスし、任意のコードを実行する可能性があります。この脆弱性は、2013年1月に実際に攻撃で悪用されたことが確認されています。

1.1 影響

  • リモートからの認証バイパス
  • 管理インターフェースへの不正アクセスと任意のコード実行
  • 攻撃者によってウェブシェルがインストールされ、パッチ適用後も長期間にわたってシステムに残り続けた事例があります。
  • 米国CISAの既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に掲載されており、実際に悪用が確認されています。

1.2 深刻度

  • CVSS v3.1 基本評価値: 9.8 (緊急 - Critical)
    • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • CVSS v2.0 基本評価値: 10.0 (高 - High)
    • Vector: (AV:N/AC:L/Au:N/C:C/I:C/A:C)
  • EPSS (Exploit Prediction Scoring System) 確率推定: 93.6% (高)
    • 30日以内の悪用可能性は99.8パーセンタイルに位置し、非常に高い悪用可能性が示唆されています (2026/09/21時点)。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性はAdobe ColdFusion製品に存在するため、特定のOSバージョンが直接影響を受けるわけではありません。Adobe ColdFusionが稼働するOSに依存するものではありません。

2.2 影響を受ける設定

  • 影響を受ける製品: Adobe ColdFusion 9.0, 9.0.1, 9.0.2, および 10。
  • 影響を受けるコンポーネント: administrator.cfc。
  • RDS (Remote Development Services) コンポーネントでデフォルトの空のパスワードが使用されている場合。

3. 影響を受けた時の兆候

  • ウェブシェルのインストールが確認されることがあります。
  • サーバー上で説明のつかないスケジュールされたタスクやウェブシェルが見つかることがあります。
  • 管理インターフェースへの不正アクセスや、意図しないコードの実行。

4. 推奨対策

4.1 本対策

  • ベンダーによる修正プログラムの適用: Adobeが提供するセキュリティアップデートおよびパッチを適用してください。連邦政府機関に対するCISAの修正期限は2022年3月24日でした。
  • ColdFusionのパッチ適用を最優先で行う必要があります。

4.2 暫定回避策（緩和策）

本脆弱性に対する具体的な暫定回避策は、検索結果からは明確に記載されていません。この脆弱性の性質上、RDSコンポーネントのデフォルトの空のパスワードの悪用が根本原因であるため、パッチの適用が最も重要かつ推奨される対策となります。一般的に、すぐにパッチを適用できない場合の緩和策としては、設定変更、アクセス制限、機能の停止、ネットワーク分離、WAFやEDRなどの補完策が検討されますが、このCVEに関してはパッチ適用が強く推奨されています。

他に解説すべき観点

  • 既知の悪用: この脆弱性は2013年1月に実際に悪用されており、CISAの既知の悪用された脆弱性カタログに掲載されています。これは、早急な対応が必要なことを示しています。
  • エクスプロイトツールの存在: Metasploitなどのエクスプロイトツールがこの脆弱性を悪用するために利用可能です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る