情報 ID
Adobe ColdFusion に関するセキュリティアップデート公開 | APSB24-14
|
公開日 |
優先度 |
APSB24-14 |
2024 年 3 月 12 日 |
3 |
要約
ColdFusion バージョン 2023、および 2021 に関するセキュリティアップデートが公開されました。 これらのアップデートは、任意のファイルシステムの読み取りおよび権限昇格につながる可能性があるクリティカルな脆弱性を解決します。
対象のバージョン
製品名 |
アップデート番号 |
プラットフォーム |
ColdFusion 2023 |
アップデート 6 とそれ以前のバージョン |
すべて |
ColdFusion 2021 |
アップデート 12 とそれ以前のバージョン |
すべて |
解決策
アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。
安全ではない Wddx デシリアライゼーション攻撃からの保護方法については、更新されたシリアルフィルタードキュメントを参照してください:https://helpx.adobe.com/jp/coldfusion/kb/coldfusion-serialfilter-file.html
脆弱性に関する詳細
謝辞:
この問題を報告し、ユーザーの保護にご協力いただいた以下の研究者の皆様に対し、アドビより厚く御礼を申し上げます。
- ma4ter - CVE-2024-20767
- Brian Reilly 氏(reillyb) - CVE-2024-45113
注:アドビは、HackerOne と非公開で招待制のバグバウンティープログラムを実施しています。アドビの外部セキュリティリサーチャーとして働くことに興味がある方は、次のステップをお知らせしますので、このフォームにご記入ください。
ColdFusion JDK/JRE LTS バージョンを最新リリースにアップデートすることをお勧めします。 サポートされている JDK のバージョンについては、以下の ColdFusion サポートマトリックスを参照してください。
ColdFusion サポートマトリックス:
CF2023: https://helpx.adobe.com/pdf/coldfusion2023-suport-matrix.pdf
CF2021: https://helpx.adobe.com/pdf/coldfusion2021-support-matrix.pdf
対応する JDK アップデートを行わずに ColdFusion アップデートを適用しても、サーバーは保護されません。 詳細については、関連するテクニカルノートを参照してください。
また、ColdFusion セキュリティページに記載したセキュリティ構成設定を適用するとともに、該当するロックダウンガイドを確認することを推奨します。
ColdFusion JDK 要件
COLDFUSION 2023(バージョン 2023.0.0.330468 以降)
アプリケーションサーバーの場合
JEE のインストール環境で、使用しているアプリケーションサーバーのタイプに応じて、各起動ファイル内で「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**」という JVM フラグを設定します。
例:
Apache Tomcat アプリケーションサーバー:「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します。
WebLogic アプリケーションサーバー:「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します。
WildFly/EAP アプリケーションサーバー:「standalone.conf」ファイルで JAVA_OPTS を編集します。
スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します。
COLDFUSION 2021(バージョン2021.0.0.323925)以降
アプリケーションサーバーの場合
JEE のインストール環境で、使用しているアプリケーションサーバーのタイプに応じて、各起動ファイル内で「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**」
という JVM フラグを設定します。
以下に例を示します。
Apache Tomcat アプリケーションサーバーは、「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します
WebLogic アプリケーションサーバー:「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します
WildFly/EAP アプリケーションサーバー:「standalone.conf」ファイルで JAVA_OPTS を編集します
スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します.
更新履歴
2024 年 9 月 10 日:CVE-2024-45113 を追加
詳しくは、https://helpx.adobe.com/jp/security.htmlを参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。