最近の脆弱性 › CVE-2023-29298
Adobe ColdFusion の脆弱性（CVE-2023-29298）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-29298 |
|---|---|
| 製品 | Adobe ColdFusion |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2023-07-20 |
| 米国政府機関の対応期限 | 2023-08-10 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-284 |
何が起きた
Adobe ColdFusion に、アクセスの制限がきちんと働かず、セキュリティの仕組みをすり抜けられる弱点が見つかりました。攻撃者は、本来は管理者だけが使う管理用の CFM や CFC の窓口に入れるおそれがあります。ネットワーク経由で、ログインも利用者の操作も不要で悪用でき、実際の悪用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Adobe ColdFusion を使ってウェブサイトやウェブアプリを動かしている組織が対象です。影響を受けるのは、ColdFusion 2018 の Update 16 以前（2018u16 以前）、2021 の Update 6 以前（2021u6 以前）、2023 の 2023.0.0.330468 以前です。
何をすればいい
Adobe の APSB23-40 に従い、ColdFusion 2018 は Update 17 以降、2021 は Update 7 以降、2023 は Update 1 以降に更新してください。Adobe は最新の版へ更新するよう勧めています。同じ種類の弱点 CVE-2023-38205 も悪用が確認されていて、こちらは APSB23-47 の 2018 Update 19、2021 Update 9、2023 Update 3 で直されています。更新ができない場合は、製品の利用をやめることも検討してください（CISA の案内）。
やることチェックリスト
- 2018はUpdate 17、2021はUpdate 7以降にする
- 2023はUpdate 1以降にする
- APSB23-47の更新まで当たっているか確かめる
用語メモ
- ColdFusion
- Adobe が提供する、ウェブアプリを作って動かすためのサーバー用ソフトです。
- CFM や CFC
- ColdFusion で使われるプログラムのファイルの種類です。管理画面などの機能もこの形で作られています。
- アクセスの制限
- 誰がどの機能やデータを使ってよいかを決めて、それ以外の人を止める仕組みです。
元データ（英語・CISA KEV より）
Adobe ColdFusion Improper Access Control Vulnerability
概要
Adobe ColdFusion contains an improper access control vulnerability that allows for a security feature bypass.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.