- Aktif istismar
- CWE-255
- CWE-287
CVE-2013-0625
Adobe ColdFusion'da parola yapılandırılmadığında kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 5040 gün
- Kaydı açan
- adobe
Yönetici özeti
Etkilenen ColdFusion sürümleri, yönetim parolası belirlenmemişse dışarıdan kimse tarafından şifresiz biçimde ele geçirilebilir ve açık gerçek saldırılarda kullanılmıştır. Sunucunun kontrolünün kaybedilmesi, veri sızıntısı ve hizmet kesintisi gibi ciddi iş risklerine yol açar. Güncelleme ve yapılandırma kontrolleri acilen yapılmalıdır.
ÖzetTürkçe
Adobe ColdFusion 9.0, 9.0.1 ve 9.0.2 sürümlerinde, bir parola yapılandırılmamış olduğunda kimlik doğrulama mekanizması atlatılabilmektedir. Uzaktan ve kimlik doğrulaması olmadan saldıran kişiler, belirtilmeyen yöntemlerle bu açığı kullanabilir. Açığın Ocak 2013'te gerçek saldırılarda kullanıldığı bildirilmiştir ve CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulamasını atlayarak yönetim işlevlerine erişebilir ve olasılıkla sunucuda rastgele kod çalıştırabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Adobe ColdFusion 9.0, 9.0.1, and 9.0.2, when a password is not configured, allows remote attackers to bypass authentication and possibly execute arbitrary code via unspecified vectors, as exploited in the wild in January 2013.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Adobe'un yönergelerine uygun olarak ColdFusion için yayımlanan güvenlik güncellemelerini uygulayın. Genel öneri
- CISA'nın gereksinimi doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Yönetim arayüzü için parola yapılandırıldığından ve boş bırakılmadığından emin olun; güçlü, benzersiz bir parola belirleyin. Genel öneri
- Güncelleme yapılana kadar ColdFusion yönetim arayüzüne internetten erişimi güvenlik duvarı ile engelleyin veya yalnızca güvenilir IP adreslerine izin verin. Genel öneri
Ek önlemler
- Sunucunun daha önce ele geçirilmiş olabileceğini varsayarak yönetim erişim kayıtlarını, beklenmeyen dosyaları ve zamanlanmış görevleri inceleyin. Genel öneri
- ColdFusion yönetim ve yönetici arayüzlerini genel ağa açmayın; erişimi VPN veya yönetim ağı üzerinden sağlayın. Genel öneri
- Desteği sona ermiş eski ColdFusion sürümlerinden desteklenen güncel bir sürüme geçişi planlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe ColdFusion | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.