Adobe BlazeDS の情報漏えいの脆弱性（CVE-2009-3960）

何が起きた

Adobe BlazeDS に、受け取ったリクエストを処理するときに、XML の外部エンティティ参照や差し込まれたタグによって情報が漏れてしまう弱点が見つかり、実際に悪用が確認されています。CISA によると、ランサムウェアの攻撃に使われたことも確認されています。NVD の評価では、攻撃者はネットワーク経由で、ログインなしで悪用できる一方、利用者の操作が必要とされています。BlazeDS は LiveCycle や ColdFusion の中でも使われているため、これらの製品も影響を受けます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe によると、影響を受けるのは BlazeDS 3.2 以前、LiveCycle 9.0、8.2.1、8.0.1、LiveCycle Data Services 3.0、2.6.1、2.5.1、Flex Data Services 2.0.1、ColdFusion 9.0、8.0.1、8.0、7.0.2 です。これらを使っている組織が対象です。

何をすればいい

Adobe のセキュリティ情報 APSB10-05 で、影響を受ける製品ごとに修正が用意されています。Adobe は、それぞれの製品を最新の版に更新するよう勧めています。BlazeDS 向けの修正は BlazeDS 3.2 がインストールされていることが前提のパッチで、ColdFusion の利用者は Adobe の技術情報も確認するよう案内されています。公式の案内を確認し、使っている製品に合った手順で対応してください。

やることチェックリスト

• BlazeDS 3.2 以前かどうかを確認する
• APSB10-05 の修正を製品ごとに適用する
• 影響する製品を最新の版に更新する

用語メモ

XML

データをタグで囲んで表す、文字で書かれたデータの形式のことです。

外部エンティティ参照

XML の中から、外部のファイルなどを読み込んで使う仕組みのことです。悪用されると、本来は見られない情報が読まれることがあります。

ランサムウェア

データを使えなくして、元に戻すことと引き換えにお金を要求する不正なプログラムのことです。