情報 ID
最終更新日 :
2022年10月22日
Adobe ColdFusion に関するセキュリティアップデート公開 | APSB22-44
|
|
公開日 |
優先度 |
|
APSB22-44 |
2022 年 10 月 11 日 |
3 |
要約
対象のバージョン
|
製品名 |
アップデート番号 |
プラットフォーム |
|
ColdFusion 2018 |
アップデート 14 とそれ以前のバージョン |
すべて |
|
ColdFusion 2021 |
アップデート 4 以前のバージョン |
すべて |
解決策
アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。
注意：
ColdFusion JDK/JRE を LTS リリースの最新バージョン（ および JDK 11）にアップデートすることをお勧めします。対応する JDK アップデートを行わずに ColdFusion アップデートを適用しても、サーバーは保護されません。詳細については、関連するテクニカルノートを参照してください。
また、ColdFusion セキュリティページに記載したセキュリティ構成設定を適用するとともに、該当するロックダウンガイドを確認することを推奨します。
脆弱性に関する詳細
|
脆弱性のカテゴリー |
脆弱性の影響 |
深刻度 |
CVSS 基本スコア |
CVE 番号 |
|
|
スタックベースのバッファオーバーフロー(CWE-121) |
任意のコード実行 |
クリティカル |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35710 |
|
ヒープベースのバッファオーバーフロー（CWE-122） |
任意のコード実行 |
クリティカル |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35711 |
|
スタックベースのバッファオーバーフロー(CWE-121) |
任意のコード実行 |
クリティカル |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35690 |
|
ヒープベースのバッファオーバーフロー（CWE-122） |
任意のコード実行 |
クリティカル |
9.8 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-35712 |
|
制限付きディレクトリへのパス名の制限（「パストラバーサル」）が正しくありません。（CWE-22） |
任意のコード実行 |
クリティカル |
8.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38418 |
|
XML 外部エンティティ参照（'XXE'）の不適切な制限（CWE-611） |
任意のファイルシステム読み取り |
重要 |
5.9 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-38419 |
|
ハードコードされた資格の使用（CWE-798） |
権限昇格 |
重要 |
6.8 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H |
CVE-2022-38420 |
|
制限付きディレクトリへのパス名の制限（「パストラバーサル」）が正しくありません。（CWE-22） |
任意のコード実行 |
重要 |
6.6 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38421 |
|
情報漏えい（CWE-200） |
セキュリティ機能のバイパス |
重要 |
5.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
CVE-2022-38422 |
|
制限付きディレクトリへのパス名の制限（「パストラバーサル」）が正しくありません。（CWE-22） |
セキュリティ機能のバイパス |
中度 |
4.4 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-38423 |
|
制限付きディレクトリへのパス名の制限（「パストラバーサル」）が正しくありません。（CWE-22） |
任意のファイルシステム書き込み |
重大 |
7.2 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
CVE-2022-38424 |
|
|
|
重要 |
7.5
|
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-42340 |
|
XML 外部エンティティ参照（'XXE'）の不適切な制限（CWE-611） |
|
重要
|
7.5
|
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2022-42341 |
謝辞
一連の問題を指摘し、ユーザーの保護にご協力いただいた以下の皆様に対し、アドビより厚く御礼を申し上げます。
- Trend Micro の Zero Day Initiative にご協力いただいた rgod 氏 - CVE-2022-35710、CVE-2022-35711、CVE-2022-35690、CVE-2022-35712、CVE-2022-38418、CVE-2022-38419、CVE-2022-38420、CVE-2022-38421、CVE-2022-38422、CVE-2022-38423、CVE-2022-MOV
- reillyb 氏 - CVE-2022-42340, CVE-2022-42341
ColdFusion JDK 要件
COLDFUSION（バージョン2021.0.0.323925）以降
アプリケーションサーバーの場合
JEE インストールでは、ご使用のアプリケーションサーバーのタイプに応じて、それぞれの起動ファイルで、以下の JVM フラグ「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**」を設定します。
以下に例を示します。
Apache Tomcat アプリケーションサーバーは、「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します
WebLogic アプリケーションサーバー：「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します
WildFly/EAP アプリケーションサーバー：「standalone.conf」ファイルで JAVA_OPTS を編集します
スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します.
COLDFUSION 2018 HF1 以降
アプリケーションサーバーの場合
JEE インストールでは、ご使用のアプリケーションサーバーのタイプに応じて、それぞれの起動ファイルで、以下の JVM フラグ「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**」を設定します。
以下に例を示します。
Apache Tomcat アプリケーションサーバーは、「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します
WebLogic アプリケーションサーバー：「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します
WildFly/EAP アプリケーションサーバー：「standalone.conf」ファイルで JAVA_OPTS を編集します
スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します.
詳しくは、https://helpx.adobe.com/jp/security.html を参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。
