ColdFusion

Die Schwachstelle betrifft die Webanwendungsplattform Adobe ColdFusion und beruht auf einer fehlerhaften Zugriffskontrolle (Improper Access Control). Dadurch lässt sich ein vorhandener Sicherheitsmechanismus umgehen: Ein Angreifer kann auf die Administrations-Endpunkte der Plattform zugreifen, konkret auf die dort bereitgestellten CFM- und CFC-Endpunkte, obwohl diese eigentlich besonders geschützt sein sollten. Über diese Verwaltungsschnittstellen werden die ColdFusion-Server konfiguriert und gesteuert, weshalb ein unautorisierter Zugriff darauf einem Angreifer weitreichende Einblicke und Eingriffsmöglichkeiten eröffnet. Die Ausnutzung erfordert keinerlei Interaktion eines Benutzers, sodass der Angriff allein durch den Angreifer und ohne Mithilfe eines Opfers ausgelöst werden kann. Betroffen sind Server, auf denen ColdFusion betrieben wird – die Plattform dient typischerweise dazu, dynamische Webanwendungen bereitzustellen, und ist damit häufig aus dem Netz erreichbar.