Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2017-3066）

何が起きた

Adobe ColdFusion に含まれる Apache BlazeDS というライブラリに、Java のデシリアライズ（受け取ったデータを元の形に戻す処理）の弱点が見つかり、実際の悪用が確認されています。悪用に成功すると、任意の（攻撃者が好きに選べる）コードを実行される可能性があります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、被害者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe ColdFusion を使っている組織です。NVD の説明では、ColdFusion 2016 Update 3 以前、ColdFusion 11 update 11 以前、ColdFusion 10 Update 22 以前が影響を受けます。

何をすればいい

Adobe の勧告 APSB17-14 に従って、ColdFusion 2016 release は Update 4 以降、ColdFusion 11 は Update 12 以降、ColdFusion 10 は Update 23 以降に更新してください。この更新には、弱点のあるライブラリ（Apache BlazeDS）の新しい版が含まれています。Adobe は、ColdFusion のセキュリティ設定と Lockdown ガイドも確かめるよう勧めています。

やることチェックリスト

• ColdFusion 2016はUpdate 4以降にする
• ColdFusion 11はUpdate 12、10はUpdate 23以降にする
• セキュリティ設定とLockdownガイドを確かめる

用語メモ

デシリアライズ

保存や送信のために変換されたデータを、プログラムで使える元の形に戻す処理のことです。中身を確かめずに戻すと、悪い命令を動かされることがあります。

ライブラリ

よく使う機能をまとめて、ほかのソフトウェアから使えるようにした部品のことです。