Eksperci od zabezpieczeÅ„ ostrzegajÄ…, że zgÅ‚oszona w ubiegÅ‚ym tygodniu luka w ColdFusion jest bardziej niebezpieczna niż twierdziÅ‚ producent. Wszak koncern Adobe sklasyfikowaÅ‚ dziurÄ™ zaledwie jako "ważnÄ…", przypuszczalnie dlatego, że nie ujawnia siÄ™ ona w standardowej konfiguracji. Jak siÄ™ jednak okazuje, istnieje masa niestandardowych serwerów, na których daje siÄ™ wykorzystać usterkÄ™.

Luka pozwala za pomocÄ… metody Directory Traversing odczytać zawartość dowolnych plików na serwerze, miÄ™dzy innymi pliku hasÅ‚owego password.properties. Napisany w Pythonie exploit sÅ‚użący do odczytu tego zbioru na wadliwym serwerze pojawiÅ‚ siÄ™ już w serwisie Exploit-DB.com. Usterka wystÄ™puje w ColdFusion 8.0, 8.0.1, 9.0, 9.0.1 oraz wczeÅ›niejszych wersjach dla systemów Windows, Mac OS i Unix.

Zależnie od konfiguracji w pliku hasÅ‚owym umieszczony jest identyfikator administratora CF zapisany w tekÅ›cie jawnym lub pod postaciÄ… wartoÅ›ci skrótu (hash). Po zdobyciu hasÅ‚a potencjalny napastnik może uzyskać dostÄ™p do interfejsu administracyjnego serwera ColdFusion, a niewykluczone, że bÄ™dzie nawet w stanie zdyskredytować caÅ‚y serwer. Użytkownicy powinni nadać instalacji poprawki bezpieczeÅ„stwa najwyższy priorytet. W sekcji FAQ poÅ›wiÄ™conego sprawom bezpieczeÅ„stwa blogu GnuCitizen znajdziemy kolejne wskazówki na temat sposobów obejÅ›cia problemu.

Źródło: heise online