CVEノート

最近の脆弱性 › CVE-2023-38205

Adobe ColdFusion の脆弱性（CVE-2023-38205）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2023-38205
製品Adobe ColdFusion
深刻度（CVSS）7.5 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2023-07-20
米国政府機関の対応期限2023-08-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-284

何が起きた

Adobe ColdFusion に、アクセスの制限がきちんと働かず、セキュリティの仕組みをすり抜けられる弱点が見つかりました。攻撃者は、本来は管理者だけが使う管理用の CFM や CFC の窓口に入れるおそれがあります。ネットワーク経由で、ログインも利用者の操作も不要で悪用でき、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワークから ColdFusion に接続する → 2. アクセスの制限をすり抜ける → 3. 管理用の CFM や CFC の窓口に入る1攻撃者がネットワークから ColdFusion に接続する2アクセスの制限をすり抜ける3管理用の CFM や CFC の窓口に入る攻撃の流れ: 1. 攻撃者がネットワークから ColdFusion に接続する → 2. アクセスの制限をすり抜ける → 3. 管理用の CFM や CFC の窓口に入る1攻撃者がネットワークから ColdFusion に接続する2アクセスの制限をすり抜ける3管理用の CFM や CFC の窓口に入る

誰が影響を受ける

Adobe ColdFusion を使ってウェブサイトやウェブアプリを動かしている組織が対象です。影響を受けるのは、ColdFusion 2018 の Update 18 以前（2018u18 以前）、2021 の Update 8 以前（2021u8 以前）、2023 の Update 2 以前（2023u2 以前）です。

何をすればいい

Adobe の APSB23-47 に従い、ColdFusion 2023 は Update 3 以降、2021 は Update 9 以降、2018 は Update 19 以降に更新してください。Adobe は、最新の版へ更新するよう勧めています。更新ができない場合は、製品の利用をやめることも検討してください（CISA の案内）。

やることチェックリスト

用語メモ

ColdFusion
Adobe が提供する、ウェブアプリを作って動かすためのサーバー用ソフトです。
CFM や CFC
ColdFusion で使われるプログラムのファイルの種類です。管理画面などの機能もこの形で作られています。
アクセスの制限
誰がどの機能やデータを使ってよいかを決めて、それ以外の人を止める仕組みです。

元データ（英語・CISA KEV より）

Adobe ColdFusion Improper Access Control Vulnerability

概要

Adobe ColdFusion contains an improper access control vulnerability that allows for a security feature bypass.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報