ColdFusion

Betroffen ist Adobe ColdFusion, eine Plattform zur Entwicklung und zum Betrieb von Webanwendungen. Die Schwachstelle beruht darauf, dass Pfadangaben nicht ausreichend auf ein zulässiges Verzeichnis beschränkt werden. Ein Angreifer kann dadurch mit manipulierten Pfadangaben aus dem vorgesehenen Verzeichnisbereich ausbrechen und auf Ressourcen zugreifen, die eigentlich gesperrt sein sollten. In der Folge lässt sich beliebiger Programmcode ausführen, und zwar im Kontext des aktuell verwendeten Benutzerkontos – mit dessen Rechten auf dem Server. Eine Interaktion durch einen Benutzer ist für den Angriff nicht erforderlich, der Angriff läuft also ohne Zutun von Administratoren oder Anwendern ab. Zudem wirkt sich die Ausnutzung über die unmittelbar betroffene Komponente hinaus aus, sodass auch andere Teile des Systems in Mitleidenschaft geraten können. Da ColdFusion-Server typischerweise Webdienste bereitstellen und aus dem Netz erreichbar sind, ist die Angriffsfläche entsprechend exponiert.