Adobe セキュリティ速報

Adobe ColdFusion に関するセキュリティアップデート公開 | APSB24-14

情報 ID

公開日

優先度

APSB24-14

2024 年 3 月 12 日

3

要約

ColdFusion バージョン 2023、および 2021 に関するセキュリティアップデートが公開されました。 これらのアップデートは、任意のファイルシステムの読み取りおよび権限昇格につながる可能性があるクリティカルな脆弱性を解決します。

対象のバージョン

製品名

アップデート番号

プラットフォーム

ColdFusion 2023

アップデート 6 とそれ以前のバージョン
  

すべて

ColdFusion 2021

アップデート 12 とそれ以前のバージョン

すべて

解決策

アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。

製品名

アップデートバージョン

プラットフォーム

優先度評価

入手方法

ColdFusion 2023

アップデート 7

すべて

3

ColdFusion 2021

アップデート 13

すべて

3

注意:

安全ではない Wddx デシリアライゼーション攻撃からの保護方法については、更新されたシリアルフィルタードキュメントを参照してください:https://helpx.adobe.com/jp/coldfusion/kb/coldfusion-serialfilter-file.html

脆弱性に関する詳細

脆弱性のカテゴリー

脆弱性の影響

深刻度

CVSS 基本スコア 

CVE 番号

不正なアクセス制御(CWE-284

任意のファイルシステム読み取り

クリティカル

8.2

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

CVE-2024-20767

不正な認証(CWE-287

権限昇格

クリティカル

7.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

CVE-2024-45113

謝辞:

この問題を報告し、ユーザーの保護にご協力いただいた以下の研究者の皆様に対し、アドビより厚く御礼を申し上げます。   

  • ma4ter - CVE-2024-20767
  • Brian Reilly 氏(reillyb) - CVE-2024-45113

注:アドビは、HackerOne と非公開で招待制のバグバウンティープログラムを実施しています。アドビの外部セキュリティリサーチャーとして働くことに興味がある方は、次のステップをお知らせしますので、このフォームにご記入ください。

注意:

ColdFusion JDK/JRE LTS バージョンを最新リリースにアップデートすることをお勧めします。 サポートされている JDK のバージョンについては、以下の ColdFusion サポートマトリックスを参照してください。

ColdFusion サポートマトリックス:

CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf

CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf

対応する JDK アップデートを行わずに ColdFusion アップデートを適用しても、サーバーは保護されません。  詳細については、関連するテクニカルノートを参照してください。

また、ColdFusion セキュリティページに記載したセキュリティ構成設定を適用するとともに、該当するロックダウンガイドを確認することを推奨します。

ColdFusion JDK 要件

COLDFUSION 2023(バージョン 2023.0.0.330468 以降)
アプリケーションサーバーの場合

JEE のインストール環境で、使用しているアプリケーションサーバーのタイプに応じて、各起動ファイル内で「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**」という JVM フラグを設定します。

例:
Apache Tomcat アプリケーションサーバー:「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します。
WebLogic アプリケーションサーバー:「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します。
WildFly/EAP アプリケーションサーバー:「standalone.conf」ファイルで JAVA_OPTS を編集します。
スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します。

 

COLDFUSION 2021(バージョン2021.0.0.323925)以降

アプリケーションサーバーの場合   

JEE のインストール環境で、使用しているアプリケーションサーバーのタイプに応じて、各起動ファイル内で「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**

という JVM フラグを設定します。

以下に例を示します。

Apache Tomcat アプリケーションサーバーは、「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します

WebLogic アプリケーションサーバー:「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します

WildFly/EAP アプリケーションサーバー:「standalone.conf」ファイルで JAVA_OPTS を編集します

スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します.  

更新履歴

2024 年 9 月 10 日:CVE-2024-45113 を追加


詳しくは、https://helpx.adobe.com/jp/security.htmlを参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。

 Adobe

ヘルプをすばやく簡単に入手

新規ユーザーの場合

Adobe MAX 2025

Adobe MAX Japan
クリエイターの祭典

2025 年 2 月 13 日
東京ビッグサイト

Adobe MAX 2025

Adobe MAX Japan
クリエイターの祭典

2025 年 2 月 13 日
東京ビッグサイト