Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2023-38203）

何が起きた

Adobe ColdFusion に、信用できないデータを元の形に戻す処理（デシリアライズ）の弱点が見つかりました。悪用されると、任意の（攻撃者が好きに選べる）コードを実行されるおそれがあります。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で、利用者の操作なしに悪用できます。CISA の KEV に載っており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe ColdFusion 2018 の Update 17 以前（2018u17 以前）、2021 の Update 7 以前（2021u7 以前）、2023 の Update 1 以前（2023u1 以前）を使っている組織が対象です。

何をすればいい

Adobe の APSB23-41 に従い、ColdFusion 2018 は Update 18 以降、2021 は Update 8 以降、2023 は Update 2 以降に更新してください。Adobe は、JDK/JRE も最新の更新に上げるよう勧めていて、JDK を更新せずに ColdFusion の更新だけを当ててもサーバーは守られないとしています。セキュリティ設定と Lockdown ガイドも確かめるよう勧めています。

やることチェックリスト

• 2018はUpdate 18、2021はUpdate 8以降にする
• 2023はUpdate 2以降にする
• JDKも最新の更新に上げる

用語メモ

デシリアライズ

保存や送信のために文字列などに変えたデータを、元のデータの形に戻す処理です。

ランサムウェア

ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。