最近の脆弱性 › CVE-2023-29300

Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2023-29300）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2023-29300
製品	Adobe ColdFusion
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-01-08
米国政府機関の対応期限	2024-01-29
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-502

何が起きた

Adobe ColdFusion に、信用できないデータを元の形に戻す処理（デシリアライズ）の弱点が見つかりました。悪用されると、任意の（攻撃者が好きに選べる）コードを実行されるおそれがあります。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で、利用者の操作なしに悪用できます。CISA の KEV に載っており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe の APSB23-40 では、ColdFusion 2018 の Update 16 以前、2021 の Update 6 以前、2023 の GA リリース（2023.0.0.330468）を使っている組織が対象です。

何をすればいい

Adobe の APSB23-40 に従い、ColdFusion 2018 は Update 17 以降、2021 は Update 7 以降、2023 は Update 1 以降に更新してください。Adobe は、JDK/JRE も最新の更新に上げるよう勧めていて、JDK を更新せずに ColdFusion の更新だけを当ててもサーバーは守られないとしています。セキュリティ設定と Lockdown ガイドも確かめるよう勧めています。

やることチェックリスト

2018はUpdate 17、2021はUpdate 7以降にする
2023はUpdate 1以降にする
JDKも最新の更新に上げる

用語メモ

デシリアライズ: 保存や送信のために文字列などに変えたデータを、元のデータの形に戻す処理です。
ランサムウェア: ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。

元データ（英語・CISA KEV より）

Adobe ColdFusion Deserialization of Untrusted Data Vulnerability

概要

Adobe ColdFusion contains a deserialization of untrusted data vulnerability that allows for code execution.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.