「Adobe ColdFusion」に緊急の定例外パッチ - 前回更新からわずか3日

Adobeは、現地時間7月14日に「Adobe ColdFusion」の緊急性が高いセキュリティアップデートを再度リリースした。現地時間7月11日のアップデートとは異なる脆弱性へ対応した修正であり、注意が必要となる。また前回修正した「CVE-2023-29300」に対する攻撃もすでに確認されている。

「Adobe ColdFusion」に関しては、いわゆる「パッチチューズデー」にあたる現地時間7月11日に「CVE-2023-29300」など脆弱性3件を修正する緊急性の高いアップデートをリリースしたばかりだが、わずか3日後である現地時間7月14日、日本時間では連休初日にあたる7月15日にあらたなアップデートをリリースした。

具体的には、信頼できないデータをデシリアライズする「CVE-2023-38203」に対処した。同脆弱性に関しては、すでに概念実証（PoC）の情報が公開されているという。先に公開したばかりの「同2023 Update 1」「同2021 Update 7」「同2018 Update 17」も影響を受ける。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は3段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社では、「CVE-2023-38203」を解消する「同2023 Update 2」「同2021 Update 8」「同2018 Update 18」を公開。適用優先度を3段階中もっとも高い「1」としており、アップデートの公開より72時間以内をひとつの目安としつつ、できるだけ早急にアップデートを適用するよう求めた。

またウェブ上のアドバイザリに記載はないが、「CVE-2023-38203」の公開を伝えたアドバイザリメールでは、先に対応した「CVE-2023-29300」が、すでに限定的な標的型攻撃で悪用されていることも明らかにしている。

（Security NEXT - 2023/07/18 ）ツイート

「Adobe ColdFusion」に緊急の定例外パッチ - 前回更新からわずか3日

関連リンク

PR

関連記事