ColdFusion 2021 アップデート 3 についての参考情報

1. Home
2. » よくある質問(FAQ)
3. » ColdFusion2021情報
4. » ColdFusion 2021 アップデート 3 についての参考情報

※本ページは、メーカーサイトの情報を部分的に抜粋して紹介していますが、参考情報としてのご紹介であり、内容の正確さや最新さ、推奨を保証するものではありません。また、本ページの内容とオリジナルの英文ページとの間に齟齬や矛盾があった場合（英文ページで情報が追加・変更された場合も含む）には、オリジナルの英文ページの情報を優先して下さい。

2021.12.22 追記
log4j2 については、さらに 2021年12月18日に新たな脆弱性のCVE-2021-45105が公開されました。ColdFusionではこの脆弱性も影響は確認されていませんが、ベストプラティクスとして ColdFusion 2021 Update 3を対象に、Log4j2 ライブラリを 2.17.0 2.17.1 にアップグレードするためのパッチを公開しました。2.17.0 2.17.1 への差し替えをご希望の方は、下記に参考情報ページを公開していますので Update 3を適用後、対応を行ってください。

• ColdFusion 2021 Update 3 / 2018 Update 13 用パッチ（log4j2 2.17.1パッチ）
  • https://cfassociates.samuraiz.co.jp/index.cfm/faq/cftech/cf-2021u3-2018u13-patch-log4j2-17/

－【注意１】－－－－－－－－－－－－

一つ前のUpdate 2の環境、または新しいColdFusion 2021インストーラー(Update 2適用済み)を使ってインストールした環境で、「クエリオブクエリ不具合に対する個別パッチ」または「CFReportタグ実行時のエラーに対する個別パッチ」の個別パッチを適用している場合、Update 3をインストールするとそれら個別パッチがbackupフォルダに移動されてしまい、パッチが外れてしまいます。

Update 3では問題は修正されていないため、個別パッチを元の場所に戻す必要があります。下記のフォルダにバックアップされていますので、それを再び所定の配置先にもどしてください

• バックアップされた場所：[cf_root]/インスタンス(cfusion等)/hf-updates/hf-2021-00003-329779/backup/lib/updates
  • 例　C:\ColdFusion2021\cfusion\hf-updates\hf-2021-00003-329779\backup\lib\updates
• 配置先：[cf_root]/インスタンス(cfusion等)/lib/updates
  • 例　C:\ColdFusion2021\cfusion\lib\updates

（注意）バックアップされた場所にある chf2021000x.jarは古いUpdateのコアファイルです。このファイルは元の場所に戻さないでください（誤って元の場所に戻してしまうとUpdateが一致しなくなり誤動作の原因となります）。

－【注意２】－－－－－－－－－－－－

Update 未適用、または Update 1適用済みの環境からUpdate 3を適用した際は、一つ前のUpdate 2で確認された下記の不具合に遭遇する場合があります。

1. クエリオブクエリ不具合に対する個別パッチ
2. CFReportタグ実行時のエラーに対する個別パッチ
3. spreadsheet系の処理で読み込んだファイルがロックされ、削除ができない問題のカスタムパッチ

上記の問題に遭遇される方（それら機能を使用されている方）は、Update 3適用後に上記のFAQの内容に沿って、個別パッチ、またはカスタムパッチを適用してください。

－【注意３】－－－－－－－－－－－－

一つ前のUpdate 2では、IIS/Apache とColdFusionとの接続コネクタの設定が更新されました（リリース当初は接続コネクタの情報はありませんがでしたが後から追記されました）。そのため、以下に対象する方は、Update 3の適用後に、接続コネクタの『アップグレード』を行ってください。

• Update 未適用、または Update 1から Update 3を適用された方
• Update 未適用、または Update 1から Update 2を既に適用済みだが、接続コネクタのアップグレードをまだ行われていない方

Update 2を適用した後に接続コネクタのアップグレードを既に行われた方や、新しいColdFusion 2021インストーラー（Update 2適用済み）をインストールして接続コネクタを設定された方は、この操作は不要です

「Web サーバー設定ツール」を起動し、[ アップグレード] ボタンを押せば、コネクタファイルの更新を行います。コマンドで実行する場合は wsconfig –upgrade です
 
（参考）Webサーバーの設定については　Webサーバーに接続 (adobe.com)の「Web サーバーの設定」に書かれている「GUI モードによる WEB サーバー設定ツールの実行」または「コマンドラインインターフェイスの使用」をご確認ください

－－－－－－－－－－－－－－－－－－

米国時間 2021年12月17日に ColdFusion 2021 Update 3が公開されました。このアップデートは、log4j2関連の脆弱性（CVE-2021-44228 および CVE-2021-45046）を解決します。このUpdateを適用すると、log4j2関連のjarが2.16.0にアップグレードされます。

• ColdFusion 2021 Update 3 について（日本語サイトが公開されるまでは英語サイトにリダイレクトされます）：
  https://helpx.adobe.com/jp/coldfusion/kb/coldfusion-2021-update-3.html
   
• ColdFusion 2021 Update Release notes （英語ページ） ：
  https://helpx.adobe.com/coldfusion/release-note/coldfusion-2021-updates-release-notes.html
  • 日本語ページ（翻訳されるまでに時間が掛かる場合がありますので英語ページを見ることをお勧めします）
    • Adobe ColdFusion（2021 リリース）アップデートリリースノート

アップデートの際の注意点

• プロキシ環境下では、Updateを適用する前に、「パッケージマネージャー ＞ 設定」でプロキシ設定を追加してください。
  • インターネットに接続が制限されるネットワーク下の環境などでColdFusion Administratorの更新機能が使えない場合は、手動でアップデートを適用する必要がありますが、従来のバージョンと手順が異なっています。詳しくは、下記の記事をご参考下さい
    • オフラインやクローズド環境でColdFusion 2021 アップデートを適用する際の参考情報
    • 手動でアップデータを適用する際の注意事項
• ColdFusion 2021の Administratorでは、Updateは「パッケージマネージャー」から行います。『コアサーバー』と更新対象の『インストール済みのパッケージ』の両方に更新の記載が表示されますが、『コアサーバー』の更新を行えば、今回関連する『インストール済みのパッケージ』も合わせて更新されます（Update 2から3の場合は、パッケージのUpdateはなく、コアサーバーのUpdateのみ行われます）
  1. Updateの通知（画面を開いた時に、『コアサーバー』のアップデートが無い「コアパッケージに対するアップデートはありません。」という表示になることがだいたい2回に1回の割合でありました。外部ネットワークの接続が行えている（直接接続できる、もしくは、プロキシの設定を追加している）にも関わらず、アップデートはありませんとなっている場合は、何回か「パッケージマネージャ」の画面を開いて（画面左、下から2番目のアイコンを何度もクリック）みてください）
     
      
  2. 『コアサーバー』の更新を行う際に、以下のように確認が表示されます。Update対象のパッケージがある場合は、該当パッケージが一旦アンインストールされ、再起動時に自動的にインストールされます
      
  3. Updateのインストール中のステップは、旧バージョンと同じです。Update（コアサーバー）のインストールが終われば、自動で再起動されます。しばらく待つと、再起動されたメッセージが表示されます（時間が掛かりすぎた場合などは、タイムアウトすることもあります）ので、[OK]を押してください。
     
• （注意）Unix環境では、手動でUpdateを適用した際は、そのUpdateを実行してユーザーで、新規フォルダやファイルが作成されます。また、再起動も手動でUpdateを実行したユーザーで行われる模様です。そのため、本来と異なる起動ユーザーでColdFusionが実行され、ファイル・フォルダの権限不足エラーなど、動作の障害や404エラーの発生を招くことがあります。この状態になった場合は、Update適用後に再起動された ColdFusion 2021を停止し、下記の手順を実施した後、改めて、通常の方法でColdFusionを起動してください
  【参考手順】
  1. ColdFusion を停止します
       [cf_root]/cfusion/bin/coldfusion stop
       [cf_root]/cfusion/jetty/cfjetty stop
  2. ColdFusionインストール配下のファイル・フォルダ権限を ColdFusion実行ユーザーに変更します
     例（sudoを利用）：sudo chown -R [ColdFusion Runtime User] [Path to ColdFusion instance
  3. 次に /tmp/ フォルダ内に customcache.index と customcache.data ファイルが存在しないかを確認します。存在する場合、/tmp/customcache.index と /tmp/customcache.data のファイルがColdFusion実行ユーザーになっているかを確認し、異なるユーザー（アップデータ適用時のユーザー）の場合は、ColdFusion実行ユーザーに変更します
     例（sudoを利用）：sudo chown -R [ColdFusion Runtime User] /tmp/customcache.*
  4. ColdFusion を起動します（OSのサービス起動コマンドで起動している場合はそちらで起動してください）
  5.   [cf_root]/cfusion/bin/coldfusion start
       [cf_root]/cfusion/jetty/cfjetty start (Jetty サービスを使用している場合）
      
• ColdFusion 2から3では、ColdFusion関連の不具合の修正等は行われていない模様です。Update 2で公開された個別パッチなども含まれていないため、Update 2で個別パッチを適用している場合は、Update 3適用後に再び個別パッチを適用して（元の場所に戻して）ください。詳しくは【注意１】【注意２】を確認してください
   
• Webサーバーコネクタについては、上記の【注意３】を確認してください

アップデートのポイント

• 本番環境へのアップデータを適用前に、テスト環境等でパッチの適用方法の確認とパッチ適用後の十分な動作確認を行って下さい
  • ColdFusion Administratorを利用した更新を行う場合の一般的な手順や注意事項等については、下記のFAQをご参考ください
    • アップデートを適用する手順の参考情報
  • プロキシ環境下でColdFusionを実行されている場合は、「パッケージマネージャー ＞ 設定」でプロキシ設定を追加してください
  • サーバー自動ロックダウンを使用してサーバーがロックダウンしている環境や、インターネットに接続が制限されるネットワーク下の環境などでColdFusion Administratorの更新機能が使えない場合は、手動でアップデートを適用する方法をお試しください。詳しくは、下記の記事をご参考下さい
    • オフラインやクローズド環境でColdFusion 2021 アップデートを適用する際の参考情報
    • 手動でアップデータを適用する際の注意事項
• ColdFusion 2016以降、ColdFusion Administrator（/CFIDE/administrator）へのアクセスは同梱のWebサーバー（デフォルトポート8500）で行います
  • 攻撃者からのリスクを軽減するために、ColdFusion 2016以降は内部Webサーバーを使用したAdministratorへのアクセスが強く推奨され、デフォルトの状態で外部Webサーバーを経由したAdministratorへのアクセスがブロックされています。外部Webサーバーを使用（経由）した Administratorへのアクセスは推奨されておらず、推奨されていない機能に関連する問題が発生した場合でもメーカーはサポートを行いません
     

その他の情報がある場合は、確認次第、情報を追記・修正致します

記事公開日：2021年12月19日
最終更新日：2022年01月31日