情報 ID
最終更新日 :
2025年4月24日
Adobe ColdFusion に関するセキュリティアップデート公開 | APSB25-15
|
|
公開日 |
優先度 |
|
APSB25-15 |
2025年4月8日 |
1 |
要約
対象のバージョン
|
製品名 |
アップデート番号 |
プラットフォーム |
|
ColdFusion 2025 |
ビルド 331385 |
すべて |
|
ColdFusion 2023 |
アップデート 12 とそれ以前のバージョン |
すべて |
|
ColdFusion 2021 |
アップデート 18 とそれ以前のバージョン |
すべて |
解決策
アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。
注意：
安全ではない Wddx デシリアライゼーション攻撃からの保護方法については、更新されたシリアルフィルタードキュメントを参照してください：https://helpx.adobe.com/jp/coldfusion/kb/coldfusion-serialfilter-file.html
脆弱性に関する詳細
|
脆弱性のカテゴリー |
脆弱性の影響 |
深刻度 |
CVSS 基本スコア |
CVE 番号 |
|
|
不適切な入力検証(CWE-20) |
任意のファイルシステム読み取り |
クリティカル |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-24446 |
|
信頼されないデータのデシリアライゼーション（CWE-502） |
任意のコード実行 |
クリティカル |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
CVE-2025-24447 |
|
不正なアクセス制御（CWE-284） |
任意のファイルシステム読み取り |
クリティカル |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30281 |
|
不正な認証（CWE-287） |
任意のコード実行 |
クリティカル |
9.1 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30282 |
|
信頼されないデータのデシリアライゼーション（CWE-502） |
任意のコード実行 |
クリティカル |
8.0 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30284 |
|
信頼されないデータのデシリアライゼーション（CWE-502） |
任意のコード実行 |
クリティカル |
8.0 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30285 |
|
OS コマンド（「OSコマンドインジェクション」）で使用される特殊要素の不適切な無害化（CWE-78） |
任意のコード実行 |
クリティカル |
8.0 |
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30286 |
|
不正な認証（CWE-287） |
任意のコード実行 |
クリティカル |
8.1 |
CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30287 |
|
不正なアクセス制御（CWE-284） |
セキュリティ機能のバイパス |
クリティカル |
7.8 |
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H |
CVE-2025-30288 |
|
OS コマンド（「OSコマンドインジェクション」）で使用される特殊要素の不適切な無害化（CWE-78） |
任意のコード実行 |
クリティカル |
7.5 |
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N |
CVE-2025-30289 |
|
制限付きディレクトリへのパス名の制限（「パストラバーサル」）が正しくありません。（CWE-22） |
セキュリティ機能のバイパス |
クリティカル |
8.7 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H |
CVE-2025-30290 |
|
情報漏えい（CWE-200） |
セキュリティ機能のバイパス |
重要 |
6.2 |
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2025-30291 |
|
クロスサイトスクリプティング （Reflected XSS）（CWE-79） |
任意のコード実行 |
重要 |
6.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
CVE-2025-30292 |
|
不適切な入力検証（CWE-20） |
セキュリティ機能のバイパス |
重要 |
6.8 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N |
CVE-2025-30293 |
|
不適切な入力検証（CWE-20） |
セキュリティ機能のバイパス |
重要 |
6.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
CVE-2025-30294 |
謝辞：
この問題を報告し、ユーザーの保護にご協力いただいた以下の研究者の皆様に対し、アドビより厚く御礼を申し上げます。
- nbxiglk 氏 - CVE-2025-24446、CVE-2025-30281、CVE-2025-30282、CVE-2025-30284、CVE-2025-30285、CVE-2025-30286、CVE-2025-30289
- Brian Reilly 氏（reillyb）- CVE-2025-24447、CVE-2025-30288、CVE-2025-30290、CVE-2025-30291、CVE-2025-30292、CVE-2025-30293、CVE-2025-30294
- cioier 氏 - CVE-2025-30287
注：アドビは、HackerOne と公開バグバウンティープログラムを実施しています。外部セキュリティリサーチャーとしてアドビで働くことに興味がある方は、https://hackerone.com/adobe をご覧ください。
注意：
セキュリティ保護のために、ColdFusion JDK/JRE LTS バージョンを最新リリースにアップデートすることをお勧めします。 この ColdFusion ダウンロードページは定期的に更新され、インストールでサポートされている JDK バージョンの最新の Java インストーラーが含まれます（以下の表を参照）。
外部 JDK ビューの使用方法については、ColdFusion JVM の変更を参照してください。
また、ColdFusion セキュリティドキュメントに記載したセキュリティ構成設定を適用するとともに、該当するロックダウンガイドを確認することを推奨します。
ColdFusion JDK 要件
COLDFUSION 2025（バージョン 2023.0.0.331385）以降
アプリケーションサーバーの場合
JEE のインストール環境で、使用しているアプリケーションサーバーのタイプに応じて、各起動ファイル内で「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;」という JVM フラグを設定します。
例：
Apache Tomcat アプリケーションサーバー：「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します。
WebLogic アプリケーションサーバー：「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します。
WildFly/EAP アプリケーションサーバー：「standalone.conf」ファイルで JAVA_OPTS を編集します。
スタンドアロンのインストール環境ではなく、ColdFusion の JEE インストール環境で、JVM フラグを設定します。
COLDFUSION 2023（バージョン 2023.0.0.330468）以降
アプリケーションサーバーの場合
JEE のインストール環境で、使用しているアプリケーションサーバーのタイプに応じて、各起動ファイル内で「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;」という JVM フラグを設定します。
例：
Apache Tomcat アプリケーションサーバー：「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します。
WebLogic アプリケーションサーバー：「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します。
WildFly/EAP アプリケーションサーバー：「standalone.conf」ファイルで JAVA_OPTS を編集します。
スタンドアロンのインストール環境ではなく、ColdFusion の JEE インストール環境で、JVM フラグを設定します。
COLDFUSION 2021（バージョン2021.0.0.323925）以降
アプリケーションサーバーの場合
JEE のインストール環境で、使用しているアプリケーションサーバーのタイプに応じて、各起動ファイル内で「-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;」
という JVM フラグを設定します。
以下に例を示します。
Apache Tomcat アプリケーションサーバー：「Catalina.bat/sh」ファイルで JAVA_OPTS を編集します
WebLogic アプリケーションサーバー：「startWeblogic.cmd」ファイルで JAVA_OPTIONS を編集します
WildFly/EAP アプリケーションサーバー：「standalone.conf」ファイルで JAVA_OPTS を編集します
スタンドアロンインストールではなく、ColdFusion の JEE インストールで、JVM フラグを設定します.
詳しくは、https://helpx.adobe.com/jp/security.htmlを参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。
