セキュリティアップデート: ColdFusion 用ホットフィックス公開

リリース日: 2014 年 10 月 14 日

脆弱性識別番号: APSB14-23

優先度:以下の表を参照してください

CVE 番号:CVE-2014-0570、CVE-2014-0571、CVE-2014-0572

プラットフォーム:全プラットフォーム

概要

全プラットフォームのColdFusionバージョン11、10、9.0.2、9.0.1、9.0を対象としたセキュリティホットフィックスが公開されました。このホットフィックスは、権限が与えられていないローカルユーザーに、ColdFusion Administratorに適用されるIPアドレスへのアクセスコントロール制限を回避するために悪用される恐れがあるセキュリティの許可に関する問題に対処します。また、このホットフィックスではクロスサイトスクリプティングとクロスサイトリクエストフォージェリの脆弱性に対処します。 

対象ソフトウェアバージョン

全プラットフォームのColdFusionバージョン11、10、9.0.2、9.0.1、9.0 

解決方法

ColdFusionをご利用のお客様には、次のテクニカルノートの手順を参照して、アップデートを適用することを推奨します。http://helpx.adobe.com/coldfusion/kb/coldfusion-security-hotfix-apsb23-14.html

また、ColdFusion セキュリティページに記載のセキュリティ設定を適用するとともに、ColdFusion 11 ロックダウンガイドColdFusion 10 ロックダウンガイド、および ColdFusion 9 ロックダウンガイドを参照することも推奨します。

優先度と緊急度の評価

アドビは、これらのアップデート版の優先度を次のように評価し、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。

ColdFusionバージョン Hotfixバージョン プラットフォーム 優先度評価
11 アップデート2 すべて
2
10 アップデート 14 すべて 2
9.0.2 アップデート 7 すべて
2
9.0.1 アップデート 12 すべて
2
9.0
アップデート 13 すべて
2

これらのアップデートは、ソフトウェアの重大な脆弱性に対処します。

詳細

全プラットフォームのColdFusionバージョン11、10、9.0.2、9.0.1、9.0を対象としたセキュリティホットフィックスが公開されました。 

このホットフィックスは、クロスサイトリクエストフォージェリの脆弱性を解消します(CVE-2014-0570)。

このホットフィックスは、クロスサイトスクリプティングの脆弱性を解消します(CVE-2014-0571)。

このホットフィックスは、権限が与えられていないローカルユーザーにIPアドレスへのアクセスコントロール制限を回避するために悪用される恐れがあるセキュリティの許可に関する問題を解消します(CVE-2014-0572)。

謝辞

この問題を指摘し、ユーザーの保護にご協力いただいた以下の個人および組織の皆様に対し、アドビより厚く御礼を申し上げます。

  • Tripwire VERTのCraig Young氏(CVE-2014-0570)
  • Foundeo Inc.*のPete Freitag氏(CVE-2014-0571)
  • Aaron Foote氏(CVE-2014-0572)

免責条項

使用許諾契約

Adobe Systems Incorporatedまたはその子会社(「アドビ」)のソフトウェアを使用すると、下記のライセンス許諾契約の諸条件を承諾したことになります。 この契約の諸条件を承諾しない場合は、このソフトウェアを使用しないでください。 特定のソフトウェアファイルのインストール時またはダウンロード時に付随するエンドユーザ使用許諾契約の条項は、下記の条項よりも優先されます。

アドビ システムズ社のソフトウェア製品の輸出および再輸出は米国輸出管理規則により規制されており、キューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国への輸出および再輸出は許可されません。 さらに、アドビのソフトウェア製品はTOD(Table Of Denial Order)、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者へ頒布することは許可されておりません。

アドビのソフトウェア製品をダウンロードまたは使用することにより、お客様にはキューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国の国民でないこと、TOD、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者ではないことを証していただきます。本ソフトウェアが他のアドビ製品(以下「ホストアプリケーション」)との併用を予定している場合、アドビは本ソフトウェアを専らホストアプリケーションと併用するために使用できる非排他的な権利を許諾します。ただし、かかる許諾はお客様がホストアプリケーションの正規ライセンスを有していることを条件とします。下記に定める規定を除き、本ソフトウェアの使用条件はホストアプリケーションの使用について適用されるアドビのエンドユーザ使用許諾契約の規定によるものとします。

保証の免責:お客様は、アドビが本ソフトウェアに関して明示的な保証を一切行わず、本ソフトウェアが「現状のまま」でいかなる保証もなく提供されていることを承諾します。アドビは、本ソフトウェアについて、特定の用途に対する適性、商業価値、商業上の品質、または第三者の権利の尊重を含むがそれに限定されない明示的または黙示的な保証は一切行っていません。国または法域によっては黙示の保証の除外が認められていないため、上記の限定は適用されない場合があります。

有限責任:契約、不法行為(過失を含む)、厳格な製造物責任またはその他の行為の形態にかかわらず、いかなる使用の損失、業務中断、または営利喪失を含む直接的、間接的、個別的、偶発的、副次的ないかなる損害に関して、事前に当該損害の可能性が勧告されていた場合でも、アドビはいかなる責任も負いません。国または法域によっては付随的または派生的な損害の除外または限定が認められていないため、上記の除外および限定は適用されない場合があります。