ColdFusion の 2023 および 2021 アップデートでの新しい JVM 引数

アプリケーションサーバー

JEE インストールでは、使用するアプリケーションサーバーのタイプに応じて、それぞれの起動ファイルに "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**" の JVM フラグを設定します。

例：

• Apache Tomcat アプリケーションサーバー：「Catalina.bat/sh」ファイルの JAVA_OPTS を編集します。
• WebLogic アプリケーションサーバー：「startWeblogic.cmd」ファイルの JAVA_OPTIONS を編集します。
• WildFly／EAP アプリケーションサーバー：「standalone.conf」ファイルの JAVA_OPTS を編集します。

メモ：これらの手順は、スタンドアロンの ColdFusion インストールには適用されません。

ColdFusion（2021 リリース）アップデート

アップデート 18

アップデートの適用後、お使いの UUID はリセットされます。ただし、セキュリティ上の理由から、ColdFusion を再起動するたびに ID をリセットする場合は、次の手順に従います。

jvm フラグ -Dcoldfusion.monitoring.id.reset=true を追加します。

アップデート 17

ColdFusion が、Ed25519 などの新しい OpenSSH キーアルゴリズムを使用して sFTP 接続を処理できません。 回避策として、次の JVM フラグを追加してください。 

• -Dcoldfusion.sftp.enable-ssh-rsa=TRUE（ssh-rsa アルゴリズムを有効にする場合）。このフラグのデフォルト値は FALSE です。 
• -Dcoldfusion.sftp.fingerprint=md5（md5 を設定する場合）。このフラグのデフォルト値は SHA256 です。

アップデート 14

• 7 つの暗号化関数について、ColdFusion のデフォルトの暗号化アルゴリズムがCFMX_COMPAT から別のアルゴリズムに変わります。 
• CFMX_COMPAT を使用する必要がある場合は、新しい JVM 引数 -Dcoldfusion.encryption.useCFMX_COMPATAsDefault =TRUE を使用します。 デフォルトでは、値は False になっています。
• - Dcoldfusion.encryption.useCFMX_COMPATAsDefault フラグは、Adobe ColdFusion の 2023 リリースおよび 2021 リリースの今後のセキュリティアップデートでサポートされます。

メモ：このフラグは ColdFusion（2025 リリース）で削除されました。詳しくは、ColdFusion の非推奨を参照してください。

cfdocument のアクセス制御に関する問題

新しい JVM フラグ -Dcfdocument.metahttpequivrefresh.localfile=TRUE   が導入されました。このフラグを使用すると、HTML の meta タグで渡された URL または場所を呼び出すことができます。 デフォルトでは、値は FALSE になっています。

meta タグで URL が渡されても、デフォルトでブロックされます。 このような URL を使用する場合は、-Dcfdocument.metahttpequivrefresh.localfile=TRUE フラグを使用します。

meta タグに URL を追加する前に、URL の健全性チェックを行うことをお勧めします。

アップデート 13

適切なスコープからの値の取得

新しく導入されたフラグ -Dcoldfusion.searchimplicitscopes=true を jvm 引数に追加します。

cfdocument に対する変更

デフォルトでは、cfdocument の本文で <iframe src=" "> を使用する場合、HTTP と HTTPS を除くすべてのプロトコルがブロックされるようになりました。

次に示すように、-Dcoldfusion.iframe.allowedprotocols JVM 引数を使用すると、他のプロトコルも許可できます。

-Dcoldfusion.iframe.allowedprotocols=file,ftp

アップデート 6

• cfclient はデフォルトで無効になっています。 ColdFusion では、cfclient を有効にする場合の -Dcoldfusion.cfclient.enable=true/false フラグが導入されています
• フラグを有効にすると、CFC の読み取りのみが許可されます。他のファイルの読み取りを許可するには、-Dcoldfusion.cfclient.allowNonCfc=true/false を設定します

ColdFusion（2023 リリース）アップデート

アップデート 12

アップデートの適用後、お使いの UUID はリセットされます。ただし、セキュリティ上の理由から、ColdFusion を再起動するたびに ID をリセットする場合は、jvm フラグ -Dcoldfusion.monitoring.id.reset=true を追加し、ColdFusion を再起動します。

アップデート 11

ColdFusion が、Ed25519 などの新しい OpenSSH キーアルゴリズムを使用して sFTP 接続を処理できません。 回避策として、次の JVM フラグを追加してください。 

• -Dcoldfusion.sftp.enable-ssh-rsa=TRUE（ssh-rsa アルゴリズムを有効にする場合）。このフラグのデフォルト値は FALSE です。 
• -Dcoldfusion.sftp.fingerprint=md5（md5 を設定する場合）。このフラグのデフォルト値は SHA256 です。
  

アップデート 8

• 7 つの暗号化関数について、ColdFusion のデフォルトの暗号化アルゴリズムがCFMX_COMPAT から別のアルゴリズムに変わります。 
• CFMX_COMPAT を使用する必要がある場合は、新しい JVM 引数 -Dcoldfusion.encryption.useCFMX_COMPATAsDefault =TRUE を使用します。 デフォルトでは、値は False になっています。
• - Dcoldfusion.encryption.useCFMX_COMPATAsDefault フラグは、Adobe ColdFusion の 2023 リリースおよび 2021 リリースの今後のセキュリティアップデートでサポートされます。

メモ：このフラグは ColdFusion（2025 リリース）で削除されました。詳しくは、ColdFusion の非推奨を参照してください。

cfdocument のアクセス制御に関する問題

新しい JVM フラグ -Dcfdocument.metahttpequivrefresh.localfile=TRUE   が導入されました。このフラグを使用すると、HTML の meta タグで渡された URL または場所を呼び出すことができます。 デフォルトでは、値は FALSE になっています。

meta タグで URL が渡されても、デフォルトでブロックされます。 このような URL を使用する場合は、-Dcfdocument.metahttpequivrefresh.localfile=TRUE フラグを使用します。

meta タグに URL を追加する前に、URL の健全性チェックを行うことをお勧めします。

アップデート 7

適切なスコープからの値の取得

新しく導入されたフラグ -Dcoldfusion.searchimplicitscopes=true を jvm 引数に追加します。