Trusted Design

CVE-2023-26360 の詳細

CVEの情報

説明:
Adobe ColdFusion versions 2018 Update 15 (and earlier) and 2021 Update 5 (and earlier) are affected by an Improper Access Control vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction.

CVE更新日: 2023-03-23 20:15:15.263000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2023-03-15

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.973390000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-26360は、Adobe ColdFusion製品に存在する重大な脆弱性です。この脆弱性は、不適切なアクセス制御と信頼できないデータのデシリアライゼーションに起因し、認証されていないリモートの攻撃者が任意のコードを実行できる可能性があります。

1. 脆弱性の概要

CVE-2023-26360は、Adobe ColdFusionにおける不適切なアクセス制御の脆弱性です。この脆弱性は、信頼できないデータのデシリアライゼーションの処理に問題があることで発生し、攻撃者が任意のコードを実行する可能性があります。 悪用にはユーザーの操作は不要です。

1.1 影響

この脆弱性が悪用されると、攻撃者は影響を受けるシステム上で任意のコードを実行 (RCE) することができます。 また、任意のファイルを読み取ることが可能になる場合もあります。 CISAは、この脆弱性が公開されているAdobe ColdFusionウェブサーバーへの初期アクセスを取得するために実際に悪用されていることを確認しており、連邦政府機関がこの脆弱性を悪用され、初期アクセスを許した事例も報告されています。

1.2 深刻度

CVE-2023-26360のCVSSスコアは9.8であり、Critical（緊急）に分類されます。 Adobeが当初公開した情報ではCVSSスコア8.6とされていましたが、後にデシリアライゼーションの脆弱性としてCVSSスコア9.8に変更されています。

2. 対象となる環境

この脆弱性はAdobe ColdFusion製品に影響を与えます。

2.1 影響を受けるOSバージョン

Adobe ColdFusionが稼働するWindowsおよびmacOSプラットフォームが影響を受けます。

2.2 影響を受ける設定

以下のAdobe ColdFusionのバージョンが影響を受けます。

  • Adobe ColdFusion 2018 Update 15 およびそれ以前のバージョン
  • Adobe ColdFusion 2021 Update 5 およびそれ以前のバージョン

なお、ColdFusion 2016およびColdFusion 11もこの脆弱性の影響を受けますが、これらのバージョンは既にサポートが終了しています。

3. 影響を受けた時の兆候

  • 攻撃者は、URLに「_cfclient=true」を含む悪意のあるHTTPリクエストを送信し、悪意のあるJSON入力をデシリアライズさせようとする可能性があります。
  • 攻撃者は、config.cfmへのHTTP POSTリクエストを使用して、悪意のあるファイルをウェブサーバーにアップロードしようとする場合があります。
  • Impervaの観測によると、Neo-runtime.xml、Seed.properties、Password.propertiesなどの機密ファイルの読み取りや、悪意のあるウェブシェルのアップロードが試行された事例が報告されています。
  • FortiGuard Labsは、攻撃者が脆弱性を悪用して、プロービング（探査）、リバースシェルの作成、マルウェアの展開などを行う活動を検知しています。

4. 推奨対策

4.1 本対策

  • Adobe ColdFusionのアップデート：影響を受けるバージョンを、脆弱性が修正された最新バージョンに速やかにアップデートしてください。
    • ColdFusion 2018: Update 16にアップデート
    • ColdFusion 2021: Update 6にアップデート
  • JDK/JREのアップデート：ColdFusionが使用するJDK/JREをLTSリリースの最新バージョン（JDK 11以降）にアップデートすることを推奨します。ColdFusionのアップデートのみではサーバーは完全に保護されません。
  • セキュリティ構成の適用：Adobe ColdFusionのセキュリティページに記載されているセキュリティ構成設定を適用し、関連するロックダウンガイド（ColdFusion 2018 自動ロックダウンガイド、ColdFusion 2021 ロックダウンガイドなど）を確認してください。
  • MySQL Javaコネクターの更新：最新のMySQL Javaコネクターを使用することが強く推奨されています。
  • シリアルフィルタードキュメントの確認：安全ではないデシリアライゼーション攻撃からの保護方法については、更新されたシリアルフィルタードキュメントを参照してください。

4.2 暫定回避策（緩和策）

  • ネットワークセグメンテーション：適切なネットワークセグメンテーションを導入し、影響を受けるサーバーへのアクセスを制限してください。
  • 多要素認証（MFA）の有効化：可能であれば、すべてのサービス、特にWebメール、VPN、および重要なシステムにアクセスするアカウントに対して多要素認証を有効にしてください。
  • アクセス制限：CFIDE以下のAdministratorやadminapi, componentutilsへのアクセスを、サーバーのロックダウンガイドに従って制限してください。

他に解説すべき観点

  • 活発な悪用：CISA（米国サイバーセキュリティ・インフラセキュリティ庁）は、CVE-2023-26360を「既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加しており、政府機関に対して期限内の対策実施を強く求めています。
  • PoCエクスプロイトの公開：この脆弱性のProof-of-Concept（PoC）エクスプロイトが公開されているため、組織は迅速なパッチ適用が特に重要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る