CVE-2023-26359とは？Adobe ColdFusionの脆弱性をわかりやすく解説

ひとことでAdobe ColdFusion で、外から送られたデータを元に命令を実行されるおそれがある弱点です。
深刻度9.8 緊急CVSS v3.1
まずやること2018はUpdate 16、2021はUpdate 6以降にする

基本情報（データから表示）

CVE番号	CVE-2023-26359
製品	Adobe ColdFusion
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-08-21
米国政府機関の対応期限	2023-09-11
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-502（信頼できないデータのデシリアライズ）

何が起きた

ウェブアプリを動かすための製品 Adobe ColdFusion で、信用できないデータをそのまま復元（デシリアライズ）してしまう弱点が見つかりました。悪用されると、ColdFusion を動かしている利用者の権限で、攻撃者が選んだ任意のコードを実行される可能性があります。ネットワーク経由で、ログインしていない攻撃者が、被害者の操作なしに悪用でき、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe ColdFusion を使っている組織が対象です。影響を受けるのは ColdFusion 2018 Update 15 以前と、ColdFusion 2021 Update 5 以前です。

何をすればいい

Adobe の APSB23-25 に従い、ColdFusion 2018 は Update 16 以降、2021 は Update 6 以降に更新してください。Adobe は、JDK/JRE も JDK 11 の LTS の最新版に上げるよう勧めていて、JDK を更新せずに ColdFusion の更新だけを当ててもサーバーは守られないとしています。セキュリティ設定と Lockdown ガイドも確かめるよう勧めています。

やることチェックリスト

2018はUpdate 16、2021はUpdate 6以降にする
JDKもJDK 11のLTSの最新版に上げる
セキュリティ設定とLockdownガイドを確かめる

用語メモ

デシリアライズ用語集で見る: 保存や通信のために変換されたデータを、元のプログラムのデータに戻す処理です。信用できないデータを戻すと、悪い命令が動くことがあります。
任意のコード用語集で見る: 攻撃者が好きに選んだプログラムの命令のことです。

次に読む

同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2026-48282）10.0 緊急CVSS v3.1Adobe ColdFusionで、ファイルの場所の確認不足から、遠隔でコードを実行される弱点です。同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2017-3066）9.8 緊急CVSS v3.1Adobe ColdFusion の部品に、外から命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe ColdFusion Deserialization of Untrusted Data Vulnerability

概要

Adobe ColdFusion contains a deserialization of untrusted data vulnerability that could result in code execution in the context of the current user.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2023-26359）