Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2023-26360）

何が起きた

Adobe の ColdFusion に、アクセスの制御が不十分な弱点が見つかり、実際に悪用が確認されています。CISA の概要では、信頼できないデータの復元（デシリアライズ）の問題とされ、悪用されるとサーバー上で攻撃者が選んだプログラムを動かされるおそれがあります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ColdFusion 2018 Update 15 以前と、ColdFusion 2021 Update 5 以前を使っている組織が影響を受けます。プログラムは、ColdFusion を動かしている利用者の権限で実行されます。

何をすればいい

Adobe の APSB23-25 に従い、ColdFusion 2018 は Update 16 以降、2021 は Update 6 以降に更新してください。Adobe は、JDK/JRE も JDK 11 の LTS の最新版に上げるよう勧めていて、JDK を更新せずに ColdFusion の更新だけを当ててもサーバーは守られないとしています。セキュリティ設定と Lockdown ガイドも確かめるよう勧めています。

やることチェックリスト

• 2018はUpdate 16、2021はUpdate 6以降にする
• JDKもJDK 11のLTSの最新版に上げる
• セキュリティ設定とLockdownガイドを確かめる

用語メモ

デシリアライズ

保存や送信のために変換したデータを、元のプログラムのデータに戻す処理です。信頼できないデータを戻すと、攻撃に使われることがあります。