• ひとことでAdobe ColdFusion に、ファイルを制限なく送り込まれ、コードを実行される弱点があります。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることColdFusion の版と Update の番号を確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2018-15961
製品Adobe ColdFusion
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-434（危険な種類のファイルのアップロードの制限なし）

何が起きた

Adobe ColdFusion に、送られてきたファイルの種類などを制限せずに受け付けてしまう、ファイルアップロードの弱点が見つかりました。NVD の説明によると、悪用に成功すると任意のコードを実行される可能性があります。NVD の評価では、ネットワーク経由で、ログインなしに、被害者の操作も不要で悪用できます。この弱点は、実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がファイルを送り込む → 2. 制限なくサーバーに保存される → 3. そのファイルでコードが実行される1攻撃者がファイルを送り込む2制限なくサーバーに保存される3そのファイルでコードが実行される攻撃の流れ: 1. 攻撃者がファイルを送り込む → 2. 制限なくサーバーに保存される → 3. そのファイルでコードが実行される1攻撃者がファイルを送り込む2制限なくサーバーに保存される3そのファイルでコードが実行される攻撃の流れ: 1. 攻撃者がファイルを送り込む → 2. 制限なくサーバーに保存される → 3. そのファイルでコードが実行される1攻撃者がファイルを送り込む2制限なくサーバーに保存される3そのファイルでコードが実行される

誰が影響を受ける

NVD の説明によると、ColdFusion の July 12 release (2018.0.0.310739)、Update 6 以前、Update 14 以前が対象です。

何をすればいい

修正された Update の番号は、このデータからは不明です。Adobe の公式の案内を確認し、使っている ColdFusion の版に合う最新の Update を適用してください。

やることチェックリスト

  • ColdFusion の版と Update の番号を確認する
  • Update 6 以前や Update 14 以前でないか確認する
  • Adobe の案内に従い最新の Update を適用する

用語メモ

ファイルアップロード
利用者の手元のファイルを、Web サイトなどのサーバーに送って保存することです。
任意のコード 用語集で見る
攻撃者が好きに選んだプログラムのことです。

次に読む

同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2026-48282）10.0 緊急CVSS v3.1Adobe ColdFusionで、ファイルの場所の確認不足から、遠隔でコードを実行される弱点です。同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2017-3066）9.8 緊急CVSS v3.1Adobe ColdFusion の部品に、外から命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe ColdFusion Unrestricted File Upload Vulnerability

概要

Adobe ColdFusion contains an unrestricted file upload vulnerability that could allow for code execution.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る