Суть уязвимости

Уязвимость (CVE-2013-0629) в Adobe ColdFusion позволяет злоумышленнику выполнить атаку типа Directory Traversal (обход каталогов). Используя специально сформированные HTTP-запросы, атакующий может получить несанкционированный доступ к файлам и директориям за пределами корневой веб-папки сервера, например, к конфигурационным файлам, содержащим пароли или системным файлам.

Как исправить

Установите официальный патч от Adobe, который устраняет эту уязвимость. Обновите ColdFusion до одной из следующих версий (или более поздней):

• ColdFusion 10: Установите Updater 9 (сборка 10,0,9,284566) или выше.
• ColdFusion 9.0.2: Установите Updater 6 (сборка 9,0,2,282803) или выше.
• ColdFusion 9.0.1: Установите Updater 3 (сборка 9,0,1,274733) или выше.

Процесс обновления (Linux/Windows): 1. Создайте полную резервную копию сервера ColdFusion и всех приложений. 2. Загрузите соответствующий установщик обновления (CF10 Update 9, CF9.0.2 Update 6 и т.д.) с официального портала Adobe. 3. Остановите сервер ColdFusion. 4. Запустите установщик обновления и следуйте инструкциям мастера. 5. После установки перезапустите сервер ColdFusion.

Проверка версии после обновления: Войдите в административную панель ColdFusion (/CFIDE/administrator). На главной странице в разделе "Информация о сервере" будет указана точная версия и номер сборки. Убедитесь, что она соответствует одной из указанных выше.

Временное решение

Если немедленная установка патча невозможна, примите следующие меры для снижения риска:

1. Настройка веб-приложения (WAF):

   • Добавьте в WAF (например, ModSecurity для Apache) правило для блокировки запросов, содержащих последовательности для обхода каталогов (../, ..\, %2e%2e%2f). ```bash

   Пример правила для ModSecurity (может потребовать адаптации)

   SecRule REQUEST_URI|REQUEST_BODY "@contains ../" \ "id:1001,phase:2,deny,status:403,msg:'Directory Traversal Attempt'" ```

2. Ограничение доступа к административной панели:

   • Ограничьте доступ к /CFIDE и /CFIDE/administrator по IP-адресу на уровне веб-сервера (Apache/Nginx) или с помощью файрвола. ```bash

   Пример для Apache (.htaccess в корне или конфиге виртуального хоста)

   <Location /CFIDE> Order Deny,Allow Deny from all Allow from 192.168.1.0/24 # Разрешить только вашу внутреннюю сеть Allow from 203.0.113.5 # Разрешить ваш публичный IP </Location> ```

3. Общая рекомендация:

   • Убедитесь, что учетная запись, от имени которой работает сервис ColdFusion, имеет минимально необходимые права на файловой системе (принцип наименьших привилегий). Это ограничит потенциальный ущерб даже в случае успешной атаки.

Важно: Временные решения лишь снижают вероятность эксплуатации, но не устраняют уязвимость. Установка патча обязательна.