Adobe Campaign Classicでコード実行の脆弱性、CVSSは9.9
Adobe Campaign Classicに、低い権限のアカウントからサーバー上で任意のコードを実行されるおそれのある脆弱性が見つかりました。7.4.4 build 9402以下を使っている組織が対象で、配信基盤を自社で運用しているなら早めに版を確認し、Adobeのアドバイザリに沿って更新を計画してください。
急ぎ度: 早めに
CVSSは9.9と最高クラスですが、KEVへの掲載はなく、悪用が確認されたという情報も出ていないため、至急ではなく早めの更新が妥当です。
関係があるか
Adobe Campaign Classicを自社で運用し、複数の担当者や委託先にアカウントを渡している組織です。メール・SMSなどの配信基盤として顧客データとつながっている環境ほど、影響が大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Campaign Classic | 7.4.4 build 9402以下 | Adobeのアドバイザリ（APSB26-162）で案内される修正版。版番号はアドバイザリで確認してください |
確かめ方
- 1導入時の構成記録や運用手順書で、稼働中のAdobe Campaign Classicの版とビルド番号を確認します。
- 2複数の環境（本番・検証・開発）がある場合は、環境ごとに版を洗い出します。
- 3Adobeがホストする環境を使っている場合は、更新の担当がAdobeと自社のどちらにあるかを契約や運用の窓口に問い合わせます。
何が起きたか
Adobe Campaign Classicに、OSコマンドインジェクションの脆弱性（CWE-78）が見つかりました。悪用されると、製品を動かしているユーザーの権限で、サーバー上の任意のコードを実行されるおそれがあります。
筆者は、悪用の報告が出ていない現時点では、至急の対応が必要な段階ではなく、早めに更新を計画する案件だと見ています。
入力値に含まれる特殊な文字が適切に無害化されないまま、OSのコマンドの一部として扱われることが原因です。さらに、影響が脆弱なコンポーネントの範囲を超えて広がる評価（Scope is changed）になっており、CVSSのベクターにもその点が反映されています。Adobeは重大度をcriticalとしています。
攻撃の流れ
-
1
低権限で到達
攻撃者がネットワーク経由で、低い権限のアカウントを使って製品に接続します。
-
2
不正な入力
OSコマンドとして解釈される特殊な文字を含む入力が、無害化されずに処理されます。
-
3
コード実行
製品を動かしているユーザーの権限で、任意のコードが実行されます。
-
4
影響の拡大
機密性・完全性・可用性の三つすべてに高い影響が及び、周辺のコンポーネントにも波及します。
どう悪用されるか
悪用には、低い権限のアカウントが必要です。ネットワーク経由で攻撃でき、攻撃の複雑さは低く、利用者の操作も要りません。つまり、一般の担当者や委託先に付与したアカウント、あるいは何らかの方法で奪われたアカウントが起点になりえます。
悪用されると、実行ユーザーの権限でサーバー上のコードが動きます。顧客データの読み取りや書き換え、サービスの停止のほか、同じ環境につながる別のシステムへの影響も想定されます。
今すぐやること
-
1
アドバイザリで修正版を確認する
Adobeのアドバイザリ（APSB26-162）で、自社の版に対応する修正版を確認します。
-
2
稼働中の版を洗い出す
本番・検証・開発のすべてで、版とビルド番号を一覧にします。7.4.4 build 9402以下が対象です。
-
3
検証環境で更新を試す
配信シナリオやワークフローに影響が出ないか、検証環境で修正版を試し、バックアップを取ったうえで本番に反映します。
-
4
アカウントを棚卸しする
使われていないアカウントや、不要に広い権限を持つ低権限アカウントを整理します。更新までの間も、攻撃の起点を減らせます。
-
5
ログを確認する
サーバーの実行ログやアクセスログに、見覚えのない操作や不審なコマンド実行がないかを見直します。
すぐ更新できないとき
修正版をすぐに適用できない場合は、製品へのアクセスを社内ネットワークや必要な接続元に限り、低権限アカウントを必要最小限に絞ってください。これは暫定的な被害の軽減にとどまり、脆弱性そのものはなくなりません。
背景
Adobe Campaign Classicは、メール・SMS・ダイレクトメールなどの配信を設計し、実行するマーケティング基盤です。顧客リストや配信シナリオを扱うため、データベースや配信用のサーバーと密に連携しています。マーケティング部門の担当者のほか、代理店や委託先にもアカウントを渡す運用が多く、権限の低いアカウントが社外にも広がりやすい製品です。
OSコマンドインジェクションは、入力の一部がOSのコマンドとして実行されてしまう種類の脆弱性です。今回は低権限のアカウントでも到達できるため、サーバー上でコードが動くことが、そのまま顧客データの扱いに直結します。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されているかどうかは公表されていません。
- 修正版の具体的な版番号と、Adobeがホストする環境での更新状況については、アドバイザリ（APSB26-162）で確認してください。
- どの機能や画面が脆弱性の入口になるのか、ベンダーの回避策があるかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Campaign Classic |
7.4.4 build 9402 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web adobe.com
- web nvd.nist.gov
- web github.com