概要
Adobe ColdFusion の XML 処理においてXXE（XML External Entity）脆弱性が存在します。外部エンティティへの参照が適切に制限されておらず、細工された XML データを処理させることでサーバーのファイルシステム上の任意ファイルを読み取ることができます。
本脆弱性の悪用にはユーザーインタラクション（被害者にファイルを開かせるなど）が必要であり、スコープの変化（Changed）があります。
CVSSベクトル
| 要素 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | Required |
| Scope | Changed |
| Confidentiality | High |
| Integrity | None |
| Availability | None |
| CVSSスコア | 8.2 (High) |
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン |
|---|---|---|
| Adobe ColdFusion 2025 | 2025.4 以前 | 最新アップデート |
| Adobe ColdFusion 2023 | 2023.16 以前 | 最新アップデート |
| Adobe ColdFusion 2021 | 2021.22 以前 | 最新アップデート |
修正バージョンと回避策
推奨対応: Adobe が提供するセキュリティアップデート（APSB25-105）を適用してください。
- Adobe Security Bulletin APSB25-105 を確認する
- 該当バージョンを使用しているサーバーにパッチを適用する
暫定回避策:
- ColdFusion サーバーへのアクセスを信頼されたユーザーに制限する
- 外部エンティティ参照を無効にする設定を適用する（ColdFusion Administrator で設定可能）
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。