CVE-2026-48282-coldfusion-rds-detection

Adobe ColdFusion RDSにおけるCVE-2026-48282のラボ検証。任意のCFMファイル書き込み、コード実行、auditd/PCAP証拠、イベントタイムライン再構築、SOC検出推奨事項を備えています。英語とポーランド語のレポートが含まれています。

エクスプロイトソース、ペイロードソース、CFMペイロード、生のPCAP、または生のホスト証拠パッケージは含まれていません。

テスト環境

ColdFusionアプリケーションディレクトリ /app は、Ubuntuホストパス /home/user/coldfusion-u9/app からDockerバインドマウントとしてマッピングされました。

検証内容

テストは隔離され許可されたラボ環境で実施されました。検証は以下の順序で行われました：

1. Adobe ColdFusion 2025 Update 9 がDockerにデプロイされました。
2. ラボテストのためにRDSが有効化され、認証モードが 認証不要 に設定されました。
3. 参考文献 にリストされている公開プロジェクトを使用して、RDSエンドポイントに到達可能であり、テスト対象インスタンスが脆弱であることを確認しました。
4. ラボ専用のアップローダを使用して、RDS FILEIO操作を通じてCFMファイルを /app/connect.cfm に送信しました。
5. GET /connect.cfm を介してファイルが呼び出されました。
6. ColdFusion が Java プロセス実行パスを通じて /bin/bash を起動しました。
7. シェルが Windows ワークステーションへのアウトバウンド TCP 接続を確立しました。
8. 実効ユーザー、オペレーティングシステム、作業ディレクトリを確認するために、非破壊的な発見コマンドが実行されました。
9. 攻撃者および被害者システムからの証拠が単一のUTCタイムラインに相関付けられました。

レポートは、カスタムアップローダやペイロードの実装を配布せずに、証拠と検出ロジックを意図的に文書化しています。

確認された結果

ラボテストでは以下が確認されました：

• テスト構成におけるRDS FILEIOエンドポイントを通じた任意のCFMファイル書き込み；
• HTTPリクエスト後のColdFusionによる書き込まれたCFMファイルの実行；
• プロセスチェーンの作成：

• ColdFusionコンテナからWindowsホストへのアウトバウンドシェル接続；
• rootではなく、ColdFusionサービスユーザーのコンテキストでの実行。

コンテナ内の実効IDは次のとおりでした：

Ubuntuホストでは、UID 999はホストアカウントデータベースを使用して dnsmasq として解決されました。これにより、ホストレベルの auditd レコードやファイル所有権出力に表示される異なるユーザー名が説明されます。

主な証拠

RDS構成

テストに使用した管理構成を以下に示します。認証不要オプションは、管理されたラボ検証のためにのみ有効化されました。

初期脆弱性チェック

初期チェックにより、RDSエンドポイントに到達可能であり、パストラバーサルを通じて任意のファイル読み取り/書き込み動作が報告されることが確認されました。

CFMファイル書き込み

ラボアップローダはローカルのCFMテスト成果物を /app/connect.cfm に送信しました。サーバーはRDS応答 1:2:XX を返し、書き込まれたリソースはその後HTTP経由でアクセス可能になりました。

コード実行とサービスアカウントコンテキスト

結果として得られたシェルセッションは、ColdFusionサービスアカウントとしての実行を確認しました。スクリーンショットに示されているコマンドは、環境識別に限定されていました。

Ubuntuバインドマウント上のファイル

ファイルは /home/user/coldfusion-u9/app に現れました。これはコンテナに /app としてマウントされたホストパスです。

再構築されたタイムライン

完全なタイムラインは両方のPDFレポートで入手可能です。最も重要なイベントは次のとおりです：

証拠収集方法論

LinuxとDocker

被害者ホストは以下を収集しました：

• 実効UIDが999である場合の execve、execveat、connect の auditd イベント；
• ColdFusionのウェブルートおよびログディレクトリへの監視；
• HTTPおよびコールバックポートの tcpdump トラフィック；
• 定期的なプロセスおよびソケットスナップショット；
• Dockerコンテナのメタデータ、ログ、イベント、プロセス一覧、ファイルシステムの差分；
• ColdFusionアプリケーションおよび管理ログ；
• SHA-256ハッシュおよびメタデータベースライン。

最終的な auditd ステータスは lost=0 を報告し、キャプチャされたテストウィンドウ中にカーネル監査サブシステムがイベントの欠落を報告しなかったことを示しています。

Windows

攻撃者ワークステーションの収集は、レポートに関連する成果物に意図的に限定されました：

• オペレーティングシステムおよびネットワークの詳細；
• イベントID 4688のプロセス作成レコード；
• PythonおよびNcatに関連するプロセス；
• 関連するTCP接続データ；
• ラボファイルのハッシュ；
• Microsoft Defenderのステータスおよび検出；
• ツールのバージョン。

最も重要な検出機会

1. RDS FILEIO要求

以下の組み合わせについてHTTP、リバースプロキシ、WAF、またはネットワークテレメトリを監視します：

この組み合わせは、単一のインジケータ単独よりもはるかに強力です。

2. ファイル書き込み後の実行

以下を相関させます：

1. サーバー実行可能拡張子へのFILEIO WRITE 要求；
2. 新しく書き込まれたリソースへの後続の GET 要求；
3. 短い時間枠内でのColdFusion Javaまたは jspawnhelper の新しい子プロセス。

3. 不審なColdFusion子プロセス

高価値プロセスインジケータには以下が含まれます：

追加のコマンドラインインジケータには、/dev/tcp、対話型シェルフラグ、リダイレクト演算子、エンコードされたコマンド、および cfexecute の予期しない使用が含まれます。

4. アプリケーションサービスアカウントからのアウトバウンド接続

ColdFusionによって起動されたシェルまたはインタプリタがワークステーションまたは異常な宛先ポートへのアウトバウンド接続を開始した場合にアラートします。ラボイベントではTCPポート4444を使用しましたが、本番検出は単一のポートに依存すべきではありません。

5. RDS構成変更

以下を含むメッセージについてColdFusion管理ログを監視します：

本番環境でのRDS構成の変更はすべてレビューする必要があります。特に、認証が弱められた場合や、追加のネットワークからサービスにアクセス可能になった場合です。

6. アプリケーションディレクトリファイル監視

テストでは重要なコンテナ監視の制限が特定されました：/app はバインドマウントでした。docker diff は /app を表示しましたが、ホストマウントディレクトリ内に作成された個々のファイルに対する完全な可視性を提供しませんでした。

したがって、ファイル整合性監視、auditd、eBPF、またはEDRのカバレッジは、マウントをバックアップする実際のホストパスを監視する必要があります。例：

コンテナオーバーレイまたは /opt/coldfusion/cfusion/wwwroot のみを監視しても、このテストの完全なファイル作成証拠をキャプチャできなかったでしょう。

SOCトリアージガイダンス

HTTPインジケータが検出された場合、SOCはすぐに以下と相関させる必要があります：

• 送信元IPとユーザーエージェント；
• RDS認証と露出構成；
• FILEIO本文に含まれるターゲットパス；
• 新規または変更された .cfm、.cfc、.jsp、またはアーカイブファイル；
• 作成直後の同じファイルへのHTTPアクセス；
• ColdFusion Javaの子プロセス；
• サービスアカウントからのアウトバウンド接続；
• whoami、id、uname、hostname、pwd、ip、ifconfig、netstat、ss などの後続の発見コマンド；
• 初期プロセス実行後の永続化試行、資格情報アクセス、または横方向の移動。

単一のCFMファイルへの GET リクエストだけでは十分ではありません。最も強力なアラートは、同じ短い時間枠内でファイル書き込み、ファイルアクセス、プロセス作成、ネットワーク接続テレメトリを組み合わせます。

推奨される緩和策

1. APSB26-68で参照されているAdobe ColdFusionセキュリティアップデートを適用します。
2. 運用上必要でない場合はRDSを無効にします。
3. RDSを有効にしておく必要がある場合は、認証を強制し、明示的に許可された管理システムへのアクセスを制限します。
4. RDSおよびCFIDE管理エンドポイントが信頼できないネットワークに公開されるのを防ぎます。
5. ColdFusionがサーバーサイドコンテンツを実行できるディレクトリへの書き込みを監視および制限します。
6. ビジネス機能で必要とされない場合、ColdFusionサービスアカウントがオペレーティングシステムプロセスを起動する能力を制限します。
7. コンテナオーバーレイファイルシステムだけでなく、Dockerバインドマウントの背後にあるホストパスも監視します。
8. 環境内の予期しないCFM/CFC/JSPファイルおよびColdFusionによって起動されたシェルを確認します。

範囲と制限事項

• 検証は1つのColdFusion 2025 Update 9 Dockerインスタンスに対して実行されました。
• RDSは管理されたテストのために意図的に 認証不要 として構成されました。
• 観察された影響はColdFusionサービスアカウントとしてのコード実行でした。rootへの権限昇格は観察されませんでした。
• 結果はテストされたパスと構成を確認するものです。すべてのデプロイメント、認証モード、リバースプロキシ、またはオペレーティングシステムが同じように動作することを証明するものではありません。
• 生のエクスプロイトコード、カスタムアップローダ、CFMペイロードはこのリポジトリで配布されていません。
• レポートには、読みやすく検出に焦点を当てた資料を提供するために、完全な生ログではなく選択された証拠の抜粋が含まれています。

参考文献

• Adobe Security Bulletin APSB26-68
• NVD — CVE-2026-48282
• CVE.org — CVE-2026-48282
• 初期検証リファレンスとして使用された公開プロジェクト

責任ある使用に関する注意

この資料は、防御的なセキュリティ研究、脆弱性管理、検出エンジニアリング、インシデント対応準備、および許可されたテストのために提供されています。明示的な許可なしにシステムに対して使用しないでください。