Trusted Design

CVE-2023-38205 の詳細

CVEの情報

説明:
Adobe ColdFusion versions 2018u18 (and earlier), 2021u8 (and earlier) and 2023u2 (and earlier) are affected by an Improper Access Control vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to access the administration CFM and CFC endpoints. Exploitation of this issue does not require user interaction.

CVE更新日: 2023-09-14 08:15:07.767000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2023-07-20

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.997640000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-38205について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2023-38205は、Adobe ColdFusionにおける不適切なアクセス制御の脆弱性です。この脆弱性は、認証されていないリモート攻撃者がセキュリティ制限を回避し、通常保護されている管理用のCFM（ColdFusion Markup）およびCFC（ColdFusion Component）のエンドポイントにアクセスすることを可能にします。

1.1 影響

この脆弱性が悪用されると、セキュリティ機能のバイパスが発生する可能性があります。攻撃者はユーザーとのインタラクションなしにネットワーク経由で脆弱性を悪用でき、インターネットに公開されている展開では特に危険です。ColdFusionの管理インターフェースには、サーバー設定、データソース管理、コード実行などの機能が含まれています。

1.2 深刻度

CVSSv3.1の基本スコアは7.5であり、「高（HIGH）」と評価されています。この脆弱性はCISAの既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog, KEV）にも含まれており、実際に限定的な攻撃で悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はAdobe ColdFusionの製品自体に存在するため、特定のOSバージョンに限定されません。影響を受けるColdFusionのバージョンは以下の通りです。

  • Adobe ColdFusion 2018 Update 18 およびそれ以前のバージョン
  • Adobe ColdFusion 2021 Update 8 およびそれ以前のバージョン
  • Adobe ColdFusion 2023 Update 2 およびそれ以前のバージョン

2.2 影響を受ける設定

この脆弱性は、Adobe ColdFusionの管理インターフェースにおける不適切なアクセス制御メカニズムに起因します。具体的には、ColdFusion Administratorへの外部アクセスを制限するセキュリティ機能がバイパスされる可能性があります。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下のようなものが挙げられます。

  • ColdFusionの管理エンドポイント（例: /CFIDE/administrator/, /CFIDE/adminapi/）への予期せぬHTTPリクエスト。
  • 管理ディレクトリ内の.cfmおよび.cfcファイルへの異常なアクセスパターン。

4. 推奨対策

4.1 本対策

Adobeは、影響を受けるColdFusionのバージョンに対してセキュリティアップデートをリリースしています。速やかに以下のバージョンへアップグレードすることが推奨されます。

  • ColdFusion 2018: Update 19
  • ColdFusion 2021: Update 9
  • ColdFusion 2023: Update 3

また、AdobeはColdFusionのJDK/JRE LTSバージョンを最新の更新リリースに更新し、ColdFusionセキュリティページおよびロックダウンガイドを確認することを推奨しています。

4.2 暫定回避策（緩和策）

CISAは、ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することを推奨しています。ColdFusionのロックダウンガイドを確認し、セキュリティ設定を適用することも有効な緩和策となり得ます。この脆弱性は以前の脆弱性（CVE-2023-29298）に対する不完全な修正をバイパスするものであったため、完全な修正パッチの適用が最も重要です。

その他

CVE-2023-38205は、CWE-284（不適切なアクセス制御）に分類される脆弱性です。この脆弱性は限定的な攻撃で実際に悪用されたことが確認されており、緊急の対応が求められます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る