Trusted Design

解説:

CVE-2023-26359について、以下の観点で解説します。

---

1. 脆弱性の概要

1.1 影響

Adobe ColdFusionにおける信頼できないデータのデシリアライゼーションの脆弱性（Deserialization of Untrusted Data）であり、現在のユーザーのコンテキストで任意のコード実行（Arbitrary Code Execution）につながる可能性があります。この脆弱性の悪用にはユーザーの操作は不要です。成功した場合、認証されていない攻撃者が影響を受けるシステムを不正に制御し、データ侵害や運用停止を引き起こす可能性があります。また、任意のファイル読み取りの可能性もあります。

1.2 深刻度

CVSSスコアは9.8（Critical）と評価されており、最も深刻な脆弱性の一つとされています。この脆弱性は、CISA（Cybersecurity and Infrastructure Security Agency）のKnown Exploited Vulnerabilities (KEV) カタログに登録されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は特定のOSバージョンに直接影響するものではなく、Adobe ColdFusion製品の脆弱性です。ColdFusionが稼働するOSに間接的な影響を及ぼします。

2.2 影響を受ける設定

以下のAdobe ColdFusionのバージョンが影響を受けます。 * Adobe ColdFusion 2018 Update 15 およびそれ以前のバージョン * Adobe ColdFusion 2021 Update 5 およびそれ以前のバージョン

3. 影響を受けた時の兆候

具体的な影響を受けた際の兆候（IoC: Indicator of Compromise）について、公開情報で詳細なログやシステム動作は明示されていません。しかし、この脆弱性が任意のコード実行につながることから、以下のような兆候が考えられます。 * ColdFusionサーバー上で意図しないプロセスが実行されている。 * 不審なファイルが作成または変更されている。 * ネットワークトラフィックに異常な通信が見られる。 * サーバーのパフォーマンス低下。

4. 推奨対策

4.1 本対策

ベンダーが提供するセキュリティアップデートを速やかに適用することが強く推奨されます。Adobeは、この脆弱性に対応するため、ColdFusion 2018および2021向けに2023年3月および6月にアップデートをリリースしています。

4.2 暫定回避策（緩和策）

• 脆弱なコンポーネントへのアクセスを制限する。
• デシリアライゼーション処理で信頼できないデータを使用しない。
• ベンダーが提供する緩和策が利用できない場合、製品の使用を中止することを検討する。

参照したサイト

• CVE-2023-26359 | Critical Vulnerability in Adobe ColdFusion - Appsecure Security
• Critical vulnerabilities in Adobe Coldfusion (CVE-2023-26359, CVE-2023-26360 and CVE-2023-26361) - vsociety - Vicarius
• NVD-CVE-2023-26359 - NIST
• CVE-2023-26359 — Deserialization of Untrusted Data in Adobe Coldfusion | dbugs
• CVE-2023-26359 - patch Adobe ColdFusion now - Senserva
• Adobe ColdFusion Deserialization of Untrusted Data Vulnerabilities - Threat Signal Report | FortiGuard Labs