最近の脆弱性 › CVE-2023-26359
Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2023-26359）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-26359 |
|---|---|
| 製品 | Adobe ColdFusion |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2023-08-21 |
| 米国政府機関の対応期限 | 2023-09-11 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-502 |
何が起きた
ウェブアプリを動かすための製品 Adobe ColdFusion で、信用できないデータをそのまま復元（デシリアライズ）してしまう弱点が見つかりました。悪用されると、ColdFusion を動かしている利用者の権限で、攻撃者が選んだ任意のコードを実行される可能性があります。ネットワーク経由で、ログインしていない攻撃者が、被害者の操作なしに悪用でき、実際の悪用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Adobe ColdFusion を使っている組織が対象です。影響を受けるのは ColdFusion 2018 Update 15 以前と、ColdFusion 2021 Update 5 以前です。
何をすればいい
Adobe の APSB23-25 に従い、ColdFusion 2018 は Update 16 以降、2021 は Update 6 以降に更新してください。Adobe は、JDK/JRE も JDK 11 の LTS の最新版に上げるよう勧めていて、JDK を更新せずに ColdFusion の更新だけを当ててもサーバーは守られないとしています。セキュリティ設定と Lockdown ガイドも確かめるよう勧めています。
やることチェックリスト
- 2018はUpdate 16、2021はUpdate 6以降にする
- JDKもJDK 11のLTSの最新版に上げる
- セキュリティ設定とLockdownガイドを確かめる
用語メモ
- デシリアライズ
- 保存や通信のために変換されたデータを、元のプログラムのデータに戻す処理です。信用できないデータを戻すと、悪い命令が動くことがあります。
- 任意のコード
- 攻撃者が好きに選んだプログラムの命令のことです。
元データ（英語・CISA KEV より）
Adobe ColdFusion Deserialization of Untrusted Data Vulnerability
概要
Adobe ColdFusion contains a deserialization of untrusted data vulnerability that could result in code execution in the context of the current user.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.