Adobe Campaign Classicに脆弱性、DBの不正読み取りの恐れ
Adobe Campaign Classicの7.4.4 build 9402以前に、SQLインジェクションの脆弱性が見つかりました。低い権限のアカウントを持つ者が、本来読めないデータの読み取りや一部の書き換えをできる恐れがあります。顧客データを扱う運用担当者は、自社の版を確認し、Adobeのアドバイザリに沿って更新を進めてください。
急ぎ度: 早めに
CVSS v3は9.1でネットワーク越しに悪用でき、利用者の操作も要りませんが、低権限のアカウントが前提であり、実際の攻撃での悪用が確認されたという情報はまだありません。
関係があるか
Adobe Campaign Classicを自社で運用し、顧客リストや配信データをデータベースに置いている組織が対象です。ログインできるアカウントを、社内の担当者だけでなく外部の委託先にも発行している環境は、特に確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Campaign Classic | 7.4.4 build 9402以前 | 修正版の版番号は、Adobeのセキュリティ情報APSB26-162で確認してください |
確かめ方
- 1Adobe Campaign Classicのコンソールのバージョン情報で、版とbuild番号を確認します。
- 2コンソールを開けない場合は、導入や保守を担当するチーム、またはAdobeとの契約情報から版を調べます。
- 37.4.4 build 9402以前であれば対象です。build番号まで必ず突き合わせてください。同じ7.4.4でも、build番号が新しければ対象外になる可能性があります。
何が起きたか
Adobe Campaign Classicに、SQLインジェクションの脆弱性があります。画面や機能から受け取った入力が、データベースへの問い合わせの中で安全に処理されないため、問い合わせの意図しない書き換えが起こり得ます。
悪用されると、機密性の高いデータの読み取りと、一部のデータの書き換えができてしまいます。Adobeはこれを、セキュリティ機能の回避につながる問題として説明しています。CWEはCWE-89、CVSS v3は9.1で、評価は重大です。
影響の範囲はスコープが変わると評価されています。脆弱なコンポーネントだけでなく、その先のデータベースなど別の領域まで影響が及ぶ想定です。
攻撃の流れ
-
1
低権限で到達
Adobe Campaign Classicにログインできる低い権限のアカウントを手に入れ、ネットワーク越しにアクセスします。
-
2
細工した入力
入力値の扱いの不備を突き、データベースへの問い合わせを意図しない形に変えます。
-
3
安全対策の回避
本来はアクセス権で守られているはずの範囲を越えて、データベースを操作します。
-
4
読み取りと改ざん
機密データの読み取りと、一部データの書き換えが起こります。
どう悪用されるか
悪用にはログイン済みのアカウントが要ります。ただし権限は低いもので足り、管理者である必要はありません。ネットワーク越しに攻撃でき、特別な条件や複雑な手順は不要です。利用者がリンクを開くなどの操作も要りません。
成功した場合の被害は、機密性への影響が大きく、データの読み取りが最大の懸念です。書き換えは限定的で、サービスの可用性への影響も小さいと評価されています。顧客リストや配信履歴などが読み出される事態を、まず想定してください。
今すぐやること
-
1
自社の版を確認する
Adobe Campaign Classicの版とbuild番号を調べ、7.4.4 build 9402以前かどうかを判定します。複数の環境（本番・検証）がある場合は、すべて確認します。
-
2
Adobeのアドバイザリで修正版を確認する
APSB26-162に記載された修正版の版とbuild番号、適用手順を読み、対象環境の更新計画を立てます。
-
3
検証環境で動作を確認して更新する
キャンペーンの配信や連携の動作を検証環境で確かめたうえで、修正版に更新します。顧客データを扱う本番環境を先に回すのが望ましいでしょう。
-
4
アカウントの棚卸しをする
ログインできるアカウントを洗い出し、不要なもの、長く使われていないもの、外部に渡しているものを整理します。更新までの間も、攻撃の前提となるアカウントを減らせます。
-
5
ログを見直す
データベースやアプリケーションのログに、身に覚えのない大量の読み出しや、エラーの急増がないかを確認します。
すぐ更新できないとき
更新がすぐにできない間は、被害の可能性を下げる措置を取ります。ただし、これらで脆弱性そのものはなくなりません。
- Adobe Campaign Classicへのアクセス元を、社内ネットワークやVPNなど必要な範囲に絞る
- 使っていないアカウントを無効にし、外部の担当者の権限は最小限にする
- データベースのログを監視し、普段と違う読み出しがないかを見る
背景
Adobe Campaign Classicは、顧客の連絡先や属性を蓄え、メールやSMSなどの配信キャンペーンを組み立てて送るためのマーケティング基盤です。運用する組織では、氏名やメールアドレス、購買や反応の履歴といった顧客データの置き場にもなっています。マーケティング担当者や代理店など、情報システム部門の外の人にもアカウントが配られやすい点が、ほかの業務システムとの違いです。
SQLインジェクションは、入力値がデータベースへの問い合わせにそのまま混ざることで起こる脆弱性です。今回は、低権限のアカウントでも本来のアクセス制御を越えられるとされています。顧客データを一か所に集めた構成では、一つの問い合わせの誤りが、大量の個人情報の読み出しにつながるおそれがあります。
よくある質問
Q.ログインできるのは社内の担当者だけです。それでも急ぐ必要はありますか。
まだ分かっていないこと
- 修正版の具体的な版番号と、更新の手順の詳細。
- Adobeが運用するクラウド型の提供形態が影響を受けるかどうか。
- 実際の攻撃で悪用が確認されたかどうか。最新の状況は、Adobeのアドバイザリ（APSB26-162）で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Campaign Classic |
7.4.4 build 9402 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in a Security feature bypass. A low-privileged attacker could leverage this vulnerability to bypass security measures and gain unauthorized read and limited write access. Exploitation of this issue does not require user interaction. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web adobe.com
- web nvd.nist.gov
- web github.com