CVE-2023-38203とは？Adobe ColdFusionの脆弱性をわかりやすく解説

ひとことでAdobe ColdFusion で、信用できないデータの変換によりコードが動く弱点です。
深刻度9.8 緊急CVSS v3.1
まずやること2018はUpdate 18、2021はUpdate 8以降にする

基本情報（データから表示）

CVE番号	CVE-2023-38203
製品	Adobe ColdFusion
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-01-08
米国政府機関の対応期限	2024-01-29
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-502（信頼できないデータのデシリアライズ）

何が起きた

Adobe ColdFusion に、信用できないデータを元の形に戻す処理（デシリアライズ）の弱点が見つかりました。悪用されると、任意の（攻撃者が好きに選べる）コードを実行されるおそれがあります。NVD に登録された Adobe の評価では、ログイン不要の攻撃者がネットワーク経由で、利用者の操作なしに悪用できます。CISA の KEV に載っており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe ColdFusion 2018 の Update 17 以前（2018u17 以前）、2021 の Update 7 以前（2021u7 以前）、2023 の Update 1 以前（2023u1 以前）を使っている組織が対象です。

何をすればいい

Adobe の APSB23-41 に従い、ColdFusion 2018 は Update 18 以降、2021 は Update 8 以降、2023 は Update 2 以降に更新してください。Adobe は、JDK/JRE も最新の更新に上げるよう勧めていて、JDK を更新せずに ColdFusion の更新だけを当ててもサーバーは守られないとしています。セキュリティ設定と Lockdown ガイドも確かめるよう勧めています。

やることチェックリスト

2018はUpdate 18、2021はUpdate 8以降にする
2023はUpdate 2以降にする
JDKも最新の更新に上げる

用語メモ

デシリアライズ用語集で見る: 保存や送信のために文字列などに変えたデータを、元のデータの形に戻す処理です。
ランサムウェア用語集で見る: ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。

次に読む

同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2026-48282）10.0 緊急CVSS v3.1Adobe ColdFusionで、ファイルの場所の確認不足から、遠隔でコードを実行される弱点です。同じ製品・メーカーの脆弱性Adobe ColdFusion（CVE-2017-3066）9.8 緊急CVSS v3.1Adobe ColdFusion の部品に、外から命令を実行される弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe ColdFusion Deserialization of Untrusted Data Vulnerability

概要

Adobe ColdFusion contains a deserialization of untrusted data vulnerability that allows for code execution.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Adobe ColdFusion の安全でないデシリアライズの脆弱性（CVE-2023-38203）