Adobe ColdFusion の脆弱性（CVE-2024-20767）

何が起きた

Adobe ColdFusion に、アクセスの制限がきちんと働かない弱点が見つかり、実際の悪用が確認されています。攻撃者は、制限されたファイルを読んだり書き換えたりできる可能性があります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できるとされていますが、Adobe の説明では、悪用には管理パネルがインターネットに公開されていることが必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe ColdFusion を使っている組織が対象です。Adobe の勧告 APSB24-14 では、ColdFusion 2023 の Update 6 以前と、ColdFusion 2021 の Update 12 以前が影響を受けます。

何をすればいい

Adobe の勧告 APSB24-14 に従って、ColdFusion 2023 は Update 12 以降、ColdFusion 2021 は Update 18 以降に更新してください（この弱点は、その後の APSB24-107 でさらに対策されています）。Adobe は、ColdFusion が使う JDK/JRE も最新の更新にするよう勧めています。対策ができない場合は、CISA の案内のとおり利用の停止を検討してください。

やることチェックリスト

• ColdFusion 2023はUpdate 12以降にする
• ColdFusion 2021はUpdate 18以降にする
• JDKやJREも最新の更新にする

用語メモ

管理パネル

製品の設定や管理をするための画面です。

アクセスの制限

誰がどのファイルや機能を使えるかを決めて、それ以外を止めるしくみです。