Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Adobe ColdFusion」に緊急の定例外パッチ - 前回更新からわずか3日

Adobeは、現地時間7月14日に「Adobe ColdFusion」の緊急性が高いセキュリティアップデートを再度リリースした。現地時間7月11日のアップデートとは異なる脆弱性へ対応した修正であり、注意が必要となる。また前回修正した「CVE-2023-29300」に対する攻撃もすでに確認されている。

「Adobe ColdFusion」に関しては、いわゆる「パッチチューズデー」にあたる現地時間7月11日に「CVE-2023-29300」など脆弱性3件を修正する緊急性の高いアップデートをリリースしたばかりだが、わずか3日後である現地時間7月14日、日本時間では連休初日にあたる7月15日にあらたなアップデートをリリースした。

具体的には、信頼できないデータをデシリアライズする「CVE-2023-38203」に対処した。同脆弱性に関しては、すでに概念実証(PoC)の情報が公開されているという。先に公開したばかりの「同2023 Update 1」「同2021 Update 7」「同2018 Update 17」も影響を受ける。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は3段階中もっとも高い「クリティカル(Critical)」とレーティングされている。

同社では、「CVE-2023-38203」を解消する「同2023 Update 2」「同2021 Update 8」「同2018 Update 18」を公開。適用優先度を3段階中もっとも高い「1」としており、アップデートの公開より72時間以内をひとつの目安としつつ、できるだけ早急にアップデートを適用するよう求めた。

またウェブ上のアドバイザリに記載はないが、「CVE-2023-38203」の公開を伝えたアドバイザリメールでは、先に対応した「CVE-2023-29300」が、すでに限定的な標的型攻撃で悪用されていることも明らかにしている。

(Security NEXT - 2023/07/18 ) このエントリーをはてなブックマークに追加

PR

関連記事

永年保存のアスベスト関連書類が所在不明に - 新潟労働局
学生間でメールアドレスリストが閲覧可能に - 横浜国立大
農林事務所より調査協力者リストを関係ない複数自治体に誤送信 - 茨城県
「WooCommerce Social Login」に脆弱性 - アップデートで修正
ニデック子会社にサイバー攻撃 - 複数サーバでランサム被害
DC内仮想マシンがランサム被害、サーバ落とすも攻撃者が起動 - KADOKAWA
脆弱性悪用リストに「Windows」や「Google Pixel」など3件追加 - 米当局
インフラ監視ソフト「Pandora FMS」にアップデート - 複数脆弱性を修正
先週注目された記事(2024年6月9日〜2024年6月15日)
高校の体験入学申込用フォームで設定ミス - 静岡県