Adobe セキュリティ速報

Adobe ColdFusion に関するセキュリティアップデート公開 | APSB22-44

情報 ID

公開日

優先度

APSB22-44

2022 年 10 月 11 日

3

要約

ColdFusion バージョン 2021 および 2018 に関するセキュリティアップデートが公開されました。 これらのアップデートは、任意のコード実行、任意のファイルシステム書き込み、セキュリティ機能のバイパス、権限昇格などの問題につながる恐れのある クリティカル重要 および 中度   の脆弱性を解決します。



   

対象のバージョン

製品名

アップデート番号

プラットフォーム

ColdFusion 2018

アップデート 14 とそれ以前のバージョン    

すべて

ColdFusion 2021

アップデート 4 以前のバージョン

すべて

解決策

アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。

製品名

アップデートバージョン

プラットフォーム

優先度評価

入手方法

ColdFusion 2018

アップデート 15

すべて

3

ColdFusion 2021

アップデート 5

すべて

3

注意:

ColdFusion JDK/JRE を LTS リリースの最新バージョン( および JDK 11)にアップデートすることをお勧めします。対応する JDK アップデートを行わずに ColdFusion アップデートを適用しても、サーバーは保護されません。詳細については、関連するテクニカルノートを参照してください。 

また、ColdFusion セキュリティページに記載したセキュリティ構成設定を適用するとともに、該当するロックダウンガイドを確認することを推奨します。

脆弱性に関する詳細

脆弱性のカテゴリー

脆弱性の影響

深刻度

CVSS 基本スコア 

CVE 番号

スタックベースのバッファオーバーフロー(CWE-121)

任意のコード実行

クリティカル

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35710

ヒープベースのバッファオーバーフロー(CWE-122

任意のコード実行

クリティカル

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35711

スタックベースのバッファオーバーフロー(CWE-121)

任意のコード実行

クリティカル

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35690

ヒープベースのバッファオーバーフロー(CWE-122

任意のコード実行

クリティカル

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-35712

制限付きディレクトリへのパス名の制限(「パストラバーサル」)が正しくありません。(CWE-22

任意のコード実行

クリティカル

8.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2022-38418

XML 外部エンティティ参照('XXE')の不適切な制限(CWE-611

任意のファイルシステム読み取り

重要

5.9

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2022-38419

ハードコードされた資格の使用(CWE-798

権限昇格

重要

6.8

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

CVE-2022-38420

制限付きディレクトリへのパス名の制限(「パストラバーサル」)が正しくありません。(CWE-22

任意のコード実行

重要

6.6

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

CVE-2022-38421

情報漏えい(CWE-200

セキュリティ機能のバイパス

重要

5.3

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CVE-2022-38422

制限付きディレクトリへのパス名の制限(「パストラバーサル」)が正しくありません。(CWE-22

セキュリティ機能のバイパス

中度

4.4

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N

CVE-2022-38423

制限付きディレクトリへのパス名の制限(「パストラバーサル」)が正しくありません。(CWE-22

任意のファイルシステム書き込み

重大

7.2

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

CVE-2022-38424


不適切な入力検証(CWE-20)


任意のファイルシステム読み取り

重要

7.5

 

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2022-42340

XML 外部エンティティ参照('XXE')の不適切な制限(CWE-611


任意のファイルシステム読み取り

重要

 

7.5

 

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVE-2022-42341

謝辞

一連の問題を指摘し、ユーザーの保護にご協力いただいた以下の皆様に対し、アドビより厚く御礼を申し上げます。

  • Trend Micro の Zero Day Initiative にご協力いただいた rgod 氏 - CVE-2022-35710、CVE-2022-35711、CVE-2022-35690、CVE-2022-35712、CVE-2022-38418、CVE-2022-38419、CVE-2022-38420、CVE-2022-38421、CVE-2022-38422、CVE-2022-38423、CVE-2022-MOV
  • reillyb 氏 - CVE-2022-42340, CVE-2022-42341

ColdFusion JDK 要件

COLDFUSION(バージョン2021.0.0.323925)以降

アプリケーションサーバーの場合   

JEE インストールでは、ご使用のアプリケーションサーバーのタイプに応じて、それぞれの起動ファイルで、以下の JVM フラグ「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**」を設定します。

以下に例を示します。

Apache Tomcat アプリケーションサーバーは、「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します

WebLogic アプリケーションサーバー:「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します

WildFly/EAP アプリケーションサーバー:「standalone.conf」ファイルで JAVA_OPTS を編集します

スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します.  

 

COLDFUSION 2018 HF1 以降  

アプリケーションサーバーの場合   

JEE インストールでは、ご使用のアプリケーションサーバーのタイプに応じて、それぞれの起動ファイルで、以下の JVM フラグ「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**」を設定します。

以下に例を示します。

Apache Tomcat アプリケーションサーバーは、「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します

WebLogic アプリケーションサーバー:「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します

WildFly/EAP アプリケーションサーバー:「standalone.conf」ファイルで JAVA_OPTS を編集します

スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します.  

 


詳しくは、https://helpx.adobe.com/jp/security.html を参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。

 Adobe

ヘルプをすばやく簡単に入手

新規ユーザーの場合