Trusted DesignCVE-2023-29298 の詳細
CVEの情報
説明:
Adobe ColdFusion versions 2018u16 (and earlier), 2021u6 (and earlier) and 2023.0.0.330468 (and earlier) are affected by an Improper Access Control vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to access the administration CFM and CFC endpoints. Exploitation of this issue does not require user interaction.
CVE更新日: 2023-07-12 16:15:11.623000
CVSSバージョン: 3.1
CVSSスコア: 7.5
KEVの情報
KEV更新日: 2023-07-20
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.997900000
EPSS更新日: 2026-10-20 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2023-29298は、Adobe ColdFusion製品に存在する不適切なアクセス制御の脆弱性です。この脆弱性は、セキュリティ機能のバイパスを引き起こし、攻撃者がColdFusion Administratorの管理用CFMおよびCFCエンドポイントにアクセスすることを可能にします。この脆弱性はユーザーの操作を必要とせず悪用される可能性があります。
1.1 影響
この脆弱性が悪用された場合、攻撃者は既知の認証情報があればColdFusion Administratorにログインできる可能性があります。また、認証情報のブルートフォース攻撃や、機密情報の漏洩につながる可能性もあります。 攻撃者は、URLパス検証の欠陥を悪用して機密性の高いColdFusion Administratorエンドポイントにアクセスすることができます。 この脆弱性は、他の脆弱性（例: CVE-2023-26360）と組み合わせて悪用されることで、より大きなリスクをもたらす可能性があります。 CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、この脆弱性が実際の攻撃で悪用されていることを公式に認定しており、緊急性の高い対応が求められています。
1.2 深刻度
CVE-2023-29298のCVSS基本評価値は7.5であり、「高」と評価されています。 Adobe社は、この脆弱性の重要度を3段階中最も高い「クリティカル」としています。
2. 対象となる環境
この脆弱性はAdobe ColdFusionに影響を与えます。
2.1 影響を受けるOSバージョン
影響を受けるOSバージョンは、Adobe ColdFusionが動作するすべてのプラットフォームです（Windows、macOSなど）。
具体的に影響を受けるAdobe ColdFusionのバージョンは以下の通りです。 * ColdFusion 2023: GAリリース (2023.0.0.330468) およびそれ以前のバージョン * ColdFusion 2021: Update 6 およびそれ以前のバージョン * ColdFusion 2018: Update 16 およびそれ以前のバージョン
2.2 影響を受ける設定
この脆弱性は、ColdFusion Administratorへの外部アクセスを制限するために設計された製品機能におけるアクセス制御の不備に起因します。 脆弱性の悪用にはユーザーインタラクションは不要です。
3. 影響を受けた時の兆候
Rapid7のチームは、Adobe ColdFusionに対する複数の顧客環境での攻撃の兆候を観測しており、CVE-2023-29298が二次的な脆弱性と組み合わせて悪用されている可能性があると報告しています。 具体的な兆候としては、管理用のCFMおよびCFCエンドポイントへの不正なアクセス試行などが挙げられます。
4. 推奨対策
4.1 本対策
ベンダーが提供するセキュリティアップデートを適用することが強く推奨されます。
以下のバージョンにアップデートしてください。 * ColdFusion 2023: Update 1 * ColdFusion 2021: Update 7 * ColdFusion 2018: Update 17
また、ColdFusionのアップデートだけでなく、ColdFusionのJDK/JRE LTSバージョンも最新のアップデートリリースに更新することが推奨されます。JDKのアップデートなしにColdFusionのアップデートを適用してもサーバーは保護されません。
Adobeは、ColdFusionのセキュリティページに記載されているセキュリティ設定を適用し、それぞれのロックダウンガイドを確認することを推奨しています。
4.2 暫定回避策（緩和策）
暫定回避策としては、以下の点が挙げられます。 * 影響を受ける機能の無効化 * WAF（Web Application Firewall）ルールの適用 * ネットワークACL（Access Control List）による遮断 * Webサーバー・プロキシ・WAFログで該当CVEのIOC（Indicator of Compromise）に合致する不審なリクエストを検索し、監視する。 * SBOM (Software Bill of Materials) や依存ファイルで影響バージョンを横断確認する。
参照したサイト