Adobe Campaign Classicに脆弱性8件 自社運用はbuild 9403へ

Campaign ClassicをAdobeに運用してもらっているなら、作業は要りません。自社や委託先のサーバーで動かしている場合は話が違います。build 9403以降に上げてnlserverを再起動するまで、8件の脆弱性が残ります。そのうち1件はCVSS 10.0で、認証なしに攻撃できる評価です。

Adobeは米国時間10月27日（日本時間28日未明）、4製品の脆弱性を公表しました。Campaign Classicのほか、Web会議のAdobe Connect、Creative Cloud Desktop、Substance 3D Painterです。いちばん重いのはCampaign Classicで、メールやキャンペーンの配信に使う、マーケティングの部署のシステムです。情シスの台帳に載っていないこともあります。

4製品の対象と修正版

対象と修正版は、AdobeがCVEの採番元として登録したCVEの記録によります。10月28日時点で、4製品の脆弱性はどれも米CISAのKEVに入っていません。

Campaign Classicは8件、7件でコードを実行される

8件のうち7件は、悪用されると任意のコードを実行されるか、セキュリティの仕組みをすり抜けられるものです。残る1件は反射型のクロスサイトスクリプティングで、利用者に細工したURLを開かせる必要があります。

目立つのは「低い権限」の多さです。CampaignにログインできるIDが1つ乗っ取られれば、そこから4件の9.9を狙える計算になります。配信の担当者や代理店に配ったアカウントが多い環境ほど、入口も増えます。

誰が更新するかは、動かし方で決まる

Adobeのリリースノートによると、修正を含むbuild 9403は10月15日に出ていました。Adobeが運用するインスタンスは対処済みで、利用者の作業は要りません。オンプレミスとハイブリッドの環境には、できるだけ早く入れるよう求めています。読み込ませるにはnlserverの再起動が要り、再起動すれば修正は既定で有効になります。

ただし、ハイブリッドの扱いは文書によって書き方が違います。ビルドの更新の手順書は、Adobeが運用する環境とハイブリッドの環境では、更新をAdobeの技術運用のチームに依頼すると書いています。ハイブリッドで使っている会社は、自社で入れるのか、Adobeに頼むのかを、Adobeのサポートか委託先に確認しておくと確実です。

オンプレミスでは、自社が更新のすべてを受け持ちます。手順書は、少なくとも2時間をとること、すべてのインスタンスのデータベースをバックアップしてから始めること、Campaignの管理者を必ず加えることを求めています。マーケティングの担当者にも、更新のあとに日々の作業を試してもらうよう書いています。

Campaign Classicの修正は、今回が初めてではありません。リリースノートでは、7月29日のbuild 9398から10月15日のbuild 9403まで、セキュリティの修正を含むビルドが6つ続いています。夏から版を上げていない環境は、今回の8件より前の脆弱性も残っているはずです。

ConnectとCreative Cloudは、PCとスマートフォンのアプリ

Adobe Connectの対象は、デスクトップ版のアプリとAndroid版のアプリです。細工したURLを開いたり、改ざんされたページにアクセスしたりすると、コードを実行されるおそれがあります。社外のウェビナーに参加するためにアプリを入れた社員もいるでしょう。

Creative Cloud Desktopは、DLLなどを探す場所の扱いに問題があります。PCに低い権限で入れる攻撃者が、利用者に細工したファイルを開かせる必要があります。Substance 3D Painterの2件も、細工したファイルを開くことが前提です。同じ3Dの製品群では、Substance 3D Designerの脆弱性も以前に修正されています。

10月14日の定例の更新は、Adobeの10月更新、11製品が対象にまとめました。今回はその2週間後の、定例の外の公表です。

影響を受ける会社

• 影響する: Campaign Classic v7を、自社や委託先のサーバーで動かしている会社です。オンプレミスとハイブリッドの環境が当たります。
• 影響しない: Adobeが運用するCampaign Classicを使っている会社です。Adobeは対処済みとしています。
• 影響する: Adobe Connectのデスクトップ版やAndroid版を、社員が使っている会社です。
• 影響する: デザインや3Dの部署に、Creative Cloud DesktopやSubstance 3D Painterを入れたPCがある会社です。

マーケティングの部署や委託先と確認すること

1. 社内でCampaign Classicを使っていないかを、マーケティングの部署に聞きます。「メールやキャンペーンの配信の仕組み」と聞くと話が早いです。
2. 使っているなら、Adobeの運用か、オンプレミスか、ハイブリッドかを、契約や委託先で確認します。ハイブリッドなら、自社で入れるのかAdobeに頼むのかも確認します。
3. 自社や委託先で動かしている環境は、ビルドの番号を確認し、build 9402以前なら9403以降に上げます。2時間以上の作業の時間をとり、データベースをバックアップしてから始め、最後にnlserverを再起動します。
4. 更新までのあいだに、Campaignに入れるアカウントを見直します。退職者や契約の終わった代理店のIDは止めます。
5. Adobe Connectのデスクトップ版とAndroid版を、資産管理のツールやMDMで探し、表の修正版に上げます。
6. Creative Cloud DesktopとSubstance 3D Painterを入れたPCの版を確認します。Creative Cloud Desktopは6.11.0.478.6以降、Substance 3D Painterは12.2.0以降です。