1. ホーム
2. サポート
3. セキュリティ情報

セキュリティ速報

ColdFusion Flash Remoting Gatewayのサービス拒否

リリース日：2006年９月12日

脆弱性識別番号：APSB06-12

CVE番号：CVE-2006-4724

プラットフォーム：全プラットフォーム

概要

精巧に作成されたコマンドがColdFusion Flash Remoting Gatewayに送信されると、ColdFusion内に無限ループが引き起され、その結果サービス拒否攻撃となる可能性があります。

解決方法

アドビではColdFusionユーザの皆様に、ColdFusion MX 7.0.2へのアップグレード、または次のアップデートの適用を推奨します。インストールの方法を次に説明します。

注意：変更を行う前に、現在のファイルをバックアップしてください。運用中のサーバに変更を適用する前に、必ず非運用環境でテストを行ってください。

インストール方法：

1. 現在ColdFusionMX 7.0を使用している場合はColdFusion MX 7.0.1へアップデートします。


2. ホットフィックスをダウンロードして解凍します。(3K)


3. ColdFusion MX Administratorを開き、システム情報のページを選択します。更新ファイルフィールドにおいて次のいずれかの操作を行います。



a.ファイルパスを入力し、変更の送信をクリックする。
または、
b.サーバーのブラウズボタンをクリックし、ダウンロードしたファイルを選んで適用する。

4. ColdFusion MXを再起動します。

ColdFusion AdministratorでColdFusion MX 7 hot fix JARファイルをインストールした後、このダウンロードしたファイルを保存しておく必要はありません。ファイルは正しい場所にコピーされています。

ColdFusion MX 7 hot fix JARファイルがシステム情報のリストに新規エントリとして表示されます。

別の方法：Flash Remotingを使用していない場合、Flash Gatewayサーブレットをコメントアウトすることにより、Flash Remoting Gatewayを無効化することができます。

対象製品

ColdFusion MX 7およびColdFusion MX 7.0.1

注意：ColdFusion MX 6.1およびColdFusion MX 7.0.2には、この攻撃に対する脆弱性はありません。

重要度

アドビではこの問題を重要と分類し、対象ユーザの皆様に上記の対応を行うことを推奨します。

詳細

精巧に作成されたコマンドがColdFusion Flash Remoting Gatewayに送信されると、ColdFusion内に無限のループが引き起され、その結果サービス拒否攻撃となる可能性があります。この問題は、リモート攻撃の対象となります。

謝辞

この脆弱性を指摘し、カスタマーのセキュリティ保護に協力してくださったアイ･ティ･フロンティア社の村岡茂圭氏に対し、アドビより厚く御礼を申し上げます。

免責条項

使用許諾条件

Adobe Systems Incorporatedまたはその子会社（「アドビ社」）のソフトウェアを使用すると、下記のライセンス許諾契約の諸条件を承諾したことになります。 この契約の諸条件を承諾しない場合は、このソフトウェアを使用しないでください。 特定のソフトウェアファイルのインストール時またはダウンロード時に付随するエンドユーザ使用許諾契約の条項は、下記の条項よりも優先されます。

アドビシステムズ社のソフトウエア製品の輸出および再輸出は米国輸出管理規則により規制されており、キューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国への輸出および再輸出は許可されません。 さらに、アドビのソフトウエア製品はTOD（Table Of Denial Order）、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者へ頒布することは許可されておりません。

アドビのソフトウエア製品をダウンロードまたは使用することにより、お客樣にはキューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国の国民でないこと、TOD、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者ではないことを証していただきます。

本ソフトウエアが他のアドビ製品（以下「ホストアプリケーション」）との併用を予定している場合、アドビは本ソフトウェアを専らホストアプリケーションと併用するために使用できる非排他的な権利を許諾します。ただし、かかる許諾はお客様がホストアプリケーションの正規ライセンスを有していることを条件とします。下記に定める規定を除き、本ソフトウエアの使用条件はホストアプリケーションの使用について適用されるアドビのエンドユーザ使用許諾契約の規定によるものとします。

保証の免責：お客様は、アドビが本ソフトウェアに関して明示的な保証を一切行わず、本ソフトウェアが「現状のまま」でいかなる保証もなく提供されていることを承諾します。 アドビは、本ソフトウェアについて、特定の用途に対する適性、商業価値、商業上の品質、または第三者の権利の尊重を含むがそれに限定されない明示的または黙示的な保証は一切行っていません。国または法域によっては黙示の保証の除外が認められていないため、上記の限定は適用されない場合があります。

有限責任：契約、不法行為（過失を含む）、厳格な製造物責任またはその他の行為の形態にかかわらず、いかなる使用の損失、業務中断、または営利喪失を含む直接的、間接的、個別的、偶発的、副次的ないかなる損害に関して、事前に当該損害の可能性が勧告されていた場合でも、アドビはいかなる責任も負いません。 国または法域によっては付随的または派生的な損害の除外または限定が認められていないため、上記の除外および限定は適用されない場合があります。