The version of Adobe ColdFusion running on the remote host is affected by an authentication bypass vulnerability. When RDS is disabled and not configured with password protection, it is possible to authenticate as an administrative user without providing a username or password. A remote, unauthenticated attacker can exploit this to gain administrative access to the ColdFusion Administrator interface. After authenticating, it is possible to write arbitrary files to the host, resulting in arbitrary code execution. This vulnerability is being exploited in the wild.

This version of ColdFusion is reportedly affected by several additional vulnerabilities; however, Nessus has not checked for those issues.

The version of Adobe ColdFusion running on the remote host is missing hotfixes that address the following vulnerabilities :

  - An authentication bypass vulnerability exists that could     allow an unauthorized user to gain administrative     access. (CVE-2013-0625)

  - A directory traversal vulnerability exists that could     allow an unauthorized user to gain administrative     access. (CVE-2013-0629)

  - An unspecified information disclosure vulnerability     exists that affects servers that have already been     compromised. (CVE-2013-0631)

  - Authentication bypass vulnerability exists that could     allow an unauthorized user to gain administrative     access. (CVE-2013-0632)

リモートホストで実行されているバージョンの Adobe ColdFusion に、認証バイパス脆弱性があります。RDS が無効化され、パスワード保護で構成されていない場合、ユーザー名やパスワードなしで管理者として認証を行う可能性があります。リモートの認証されていない攻撃者はこれを悪用して、ColdFusion Admninistrator インターフェイスに対する管理者アクセスを取得することができます。認証後、ホストに対して任意のファイルを書き込むことができ、任意のコードを実行することができます。この脆弱性は、野放しで悪用されています。

このバージョンの ColdFusion は他の複数の脆弱性が報告されていますが、 Nessus はそれらの問題はチェックしていません。

The version of Adobe ColdFusion running on the remote host is missing hotfixes that address the following vulnerabilities :

  - An authentication bypass vulnerability exists that could allow an unauthorized user to gain administrative access. (CVE-2013-0625)

  - A directory traversal vulnerability exists that could allow an unauthorized user to gain administrative access. (CVE-2013-0629)

  - An unspecified information disclosure vulnerability exists that affects servers that have already been compromised. (CVE-2013-0631)

  - Authentication bypass vulnerability exists that could allow an unauthorized user to gain administrative access. (CVE-2013-0632)

遠端主機上安裝的 Adobe ColdFusion 版本缺少可解決下列弱點的 hotfix：

- 存在一個驗證繞過弱點，可允許未經授權的使用者取得管理存取權。(CVE-2013-0625)

- 存在一個目錄遊走弱點，可允許未經授權的使用者取得管理存取權。(CVE-2013-0629)

- 存在一個不明資訊洩漏弱點，會影響已遭入侵的伺服器。(CVE-2013-0631)

- 存在一個驗證繞過弱點，可允許未經授權的使用者取得管理存取權。(CVE-2013-0632)

远程主机上运行的 Adobe ColdFusion 版本存在认证绕过漏洞。当 RDS 禁用且未配置密码保护时，无需提供用户名或密码即可认证为管理用户。未经认证的远程攻击者可利用此漏洞来获取 ColdFusion 管理界面的管理访问权限。在认证后，可将任意文件写入主机，从而导致任意代码执行。此漏洞正在通常环境中被利用。

据报告，此 ColdFusion 版本受到多个其他漏洞的影响；不过 Nessus 未对这些问题进行检查。

远程主机上安装的 Adobe ColdFusion 版本缺少解决以下漏洞的热修复：

- 存在一个认证绕过漏洞，可允许未经授权的用户获取管理访问权限。(CVE-2013-0625)

- 存在一个目录遍历漏洞，可允许未经授权的用户获取管理访问权限。(CVE-2013-0629)

- 存在不明信息泄露漏洞，可影响已受到危害的服务器。(CVE-2013-0631)

- 存在认证绕过漏洞，可允许未经授权的用户获取管理访问权限。(CVE-2013-0632)

遠端主機上執行的 Adobe ColdFusion 版本有驗證繞過弱點。當 RDS 已停用且未設定密碼保護時，可能無需提供使用者名稱或密碼便驗證為管理使用者。未經驗證的遠端攻擊者可利用此弱點取得 ColdFusion 系統管理員介面的管理存取權。驗證後，可能將任意檔案寫入主機，從而導致任意程式碼執行。此弱點正在環境中遭到惡意利用。

此版本的 ColdFusion 據報受到其他數個弱點影響，不過 Nessus 並未檢查這些問題。

ID	名稱	產品	系列	已發布	已更新	嚴重性
64689	Adobe ColdFusion Authentication Bypass (APSB13-03)	Nessus	CGI abuses	2013/2/19	2023/4/25	critical
66526	Adobe ColdFusion Multiple Vulnerabilities (APSB13-03) (credentialed check)	Nessus	Windows	2013/5/21	2023/4/25	critical
64689	Adobe ColdFusion 認証バイパス（APSB13-03）	Nessus	CGI abuses	2013/2/19	2023/4/25	critical
66526	Adobe ColdFusion Multiple Vulnerabilities (APSB13-03) (credentialed check)	Nessus	Windows	2013/5/21	2023/4/25	critical
66526	Adobe ColdFusion 多個弱點 (APSB13-03) (經認證的檢查)	Nessus	Windows	2013/5/21	2023/4/25	critical
64689	Adobe ColdFusion 认证绕过 (APSB13-03)	Nessus	CGI abuses	2013/2/19	2023/4/25	critical
66526	Adobe ColdFusion 多种漏洞 (APSB13-03)（凭据检查）	Nessus	Windows	2013/5/21	2023/4/25	critical
64689	Adobe ColdFusion 驗證繞過 (APSB13-03)	Nessus	CGI abuses	2013/2/19	2023/4/25	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical