【活用ガイド】

JVNDB-2021-001016

Adobe ColdFusion にインストールディレクトリの ACL 設定不備による権限昇格の脆弱性

概要

Adobe ColdFusion には、デフォルトのインストールディレクトリにおいて ACL が適切に設定されないことに起因する権限昇格の脆弱性が存在します。

Adobe ColdFusion インストーラは、C:\ColdFusion2021\ のようなデフォルトのインストールディレクトリに対して ACL を適切に設定できません。そのため、管理者権限を持たない Windows ユーザによって当該フォルダに悪意のある DLL ファイルを配置され、SYSTEM 権限で任意のコードを実行してしまう可能性があります。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 7.8 (重要) [NVD値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 7.2 (危険) [NVD値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): 全面的
  • 可用性への影響(A): 全面的
影響を受けるシステム


アドビ
  • Adobe ColdFusion 2016
  • Adobe ColdFusion 2018
  • Adobe ColdFusion 2021

想定される影響

特別に細工された DLL ファイルを特定のパスに配置されることにより、当該製品がインストールされている Windows システムにおいて SYSTEM 権限で任意のコードが実行される可能性があります。
対策

[ワークアラウンドを実施する]
ColdFusionServer でロックダウン機能を設定することで本脆弱性から保護することが可能です。
開発者が提供する情報を元に、利用しているバージョンに対応するワークアラウンドを実施してください。

　* Adobe ColdFusion 2016
　　* ColdFusion 2016 Lockdown Guide に記載されている設定を適用する
　* Adobe ColdFusion 2018
　　* ColdFusion 2018 Auto-Lockdown installer を実行し、エラーなしで完了することを確認する
　* Adobe ColdFusion 2021
　　* ColdFusion 2021 Auto-Lockdown installer を実行し、エラーなしで完了することを確認する
ベンダ情報

アドビ
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不適切なデフォルトパーミッション(CWE-276) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2020-10145
参考情報

  1. JVN : JVNVU#91588948
  2. JVN : JVNTA#91240916
  3. National Vulnerability Database (NVD) : CVE-2020-10145
  4. US-CERT Vulnerability Note : VU#125331
  5. 関連文書 : T1574.001 (Hijack Execution Flow: DLL Search Order Hijacking)
更新履歴

  • [2021年02月03日]
      掲載

公表日2021/02/02
登録日2021/02/03
最終更新日2021/02/03