CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2013-0625

Adobe ColdFusion — pominięcie uwierzytelnienia bez hasła (Auth Bypass)

CVSS 9.8v3.1pub. 2013-01-09upd. 2026-04-21

Adobe ColdFusion 9.0, 9.0.1 i 9.0.2 zawiera krytyczną lukę umożliwiającą ominięcie uwierzytelnienia, gdy administrator nie skonfigurował hasła. Podatność była aktywnie wykorzystywana w środowiskach produkcyjnych już w styczniu 2013 roku.

▸ Pokaż oryginał (EN)

Adobe ColdFusion 9.0, 9.0.1, and 9.0.2, when a password is not configured, allows remote attackers to bypass authentication and possibly execute arbitrary code via unspecified vectors, as exploited in the wild in January 2013.

🤖 Analiza AI

Jak działa

Gdy instancja Adobe ColdFusion nie ma skonfigurowanego hasła administratora, mechanizm uwierzytelnienia może zostać całkowicie ominięty przez zdalnego, nieuwierzytelnionego atakującego. Atak nie wymaga żadnej interakcji użytkownika ani szczególnych uprawnień. Bliższe szczegóły techniczne dotyczące konkretnych wektorów ataku nie zostały publicznie ujawnione przez producenta, jednak podatność została sklasyfikowana jako możliwa podstawa do wykonania dowolnego kodu.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do panelu administracyjnego ColdFusion, a potencjalnie również wykonać dowolny kod na serwerze (RCE), co może prowadzić do pełnego przejęcia systemu.

Mitygacja

Należy natychmiast skonfigurować silne hasło dla konta administratora ColdFusion oraz zastosować poprawki bezpieczeństwa opisane w biuletynie producenta APSB13-03 dostępnym pod adresem http://www.adobe.com/support/security/bulletins/apsb13-03.html. Zaleca się również ograniczenie dostępu do interfejsu administracyjnego ColdFusion na poziomie firewall.

Kogo dotyczy

Adobe ColdFusion 9.0, 9.0.1 oraz 9.0.2 działające na systemach Microsoft Windows i Apple Mac OS X, w konfiguracjach bez ustawionego hasła administratora.

Uwagi

Podatność była aktywnie wykorzystywana w środowiskach produkcyjnych w styczniu 2013 roku, co zostało odnotowane w opisie CVE. Adobe wydało wstępne ostrzeżenie (apsa13-01) przed opublikowaniem pełnego biuletynu (apsb13-03).