Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2018-4939）

何が起きた

Web アプリを動かすサーバー製品 Adobe ColdFusion に、信頼できないデータをそのまま元の形に戻してしまう（デシリアライズ）弱点が見つかり、実際に悪用が確認されています。Adobe はこの更新を、この弱点への緩和策（mitigation）と説明しています。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で攻撃できます。悪用されると、攻撃者が選んだプログラムを実行される可能性があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe の勧告（APSB18-14）によると、ColdFusion (2016 release) の Update 5 以前と、ColdFusion 11 の Update 13 以前が影響を受けます。これらを使っている組織が対象です。

何をすればいい

Adobe は、ColdFusion (2016 release) を Update 6 に、ColdFusion 11 を Update 14 に更新するよう案内しています。この更新には Java の実行環境（JDK）の条件があり、ColdFusion 2016 では JDK 8u121 以降、ColdFusion 11 では JDK 7u131 か JDK 8u121 以降が必要です。Adobe は、JDK を合わせて更新しないとサーバーは守られないとしています。JEE の形で入れている場合は、勧告にある JVM の設定も追加するよう案内しています。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• ColdFusion 2016 を Update 6 に更新する
• ColdFusion 11 を Update 14 に更新する
• JDK を条件に合う版に更新する

用語メモ

デシリアライズ

保存や送信のために変換したデータを、元のプログラム上のデータに戻す処理です。中身を確かめずに戻すと、攻撃者の命令が紛れ込むことがあります。

JDK

Java のプログラムを作ったり動かしたりするための道具一式です。ColdFusion は Java の上で動きます。