ColdFusion 2023 アップデート 2 についての参考情報

1. Home
2. » よくある質問(FAQ)
3. » ColdFusion2023情報
4. » ColdFusion 2023 アップデート 2 についての参考情報

日本時間 2023/7/20 未明に、さらに新しいColdFusion 2023 Update 3がリリースされました。 APSB23-47 （優先度1）の修正が含まれます。そのため、以下のFAQを参考にしながら、Update 3 を適用してください。

ColdFusion 2023 アップデート 3 についての参考情報

※本ページは、メーカーサイトの情報を部分的に抜粋して紹介していますが、参考情報としてのご紹介であり、内容の正確さや最新さ、推奨を保証するものではありません。また、本ページの内容とオリジナルの英文ページとの間に齟齬や矛盾があった場合（英文ページで情報が追加・変更された場合も含む）には、オリジナルの英文ページの情報を優先して下さい。

米国時間 2023年7月14日に ColdFusion 2023 Update 2が公開されました。このアップデートは、セキュリティ情報  APSB23-41 （優先度1）の修正が含まれます。7月11日に公開されたUpdate 1に続き、緊急度・優先度が最も高い脆弱性の修正が行われています。外部からのアクセスが可能なサイトでColdFusionを使用している場合はこのUpdateを適用してください
（Update 2にはUpdate 1の修正も含まれていますので、Update 1をスキップしてUpdate 2を適用することができます）
※APSB23-41で修正されている脆弱性（CVE-2023-26360）については、PoC（proof of concept：脆弱性を実証するプログラム）がブログに投稿されたことをアドビは認識しています。

• ColdFusion 2023 Update 2 について（日本語サイトが公開されるまでは英語サイトにリダイレクトされます）：
  https://helpx.adobe.com/jp/coldfusion/kb/coldfusion-2023-update-2.html
• ColdFusion 2023 Update Release notes （英語ページ） ：
  https://helpx.adobe.com/coldfusion/release-note/coldfusion-2023-updates-release-notes.html
  • 日本語ページ（翻訳されるまでに時間が掛かる場合がありますので英語ページを見ることをお勧めします）
    • Adobe ColdFusion（2023 リリース）アップデートリリースノート

アップデートの際の注意点

• プロキシ環境下では、Updateを適用する前に、「パッケージマネージャー ＞ 設定」でプロキシ設定を追加してください。
  • インターネットに接続が制限されるネットワーク下の環境などでColdFusion Administratorの更新機能が使えない場合は、手動でアップデートを適用する必要がありますが、ColdFusion 2021以降は手順が異なっています。詳しくは、下記の記事をご参考下さい
    • オフラインやクローズド環境でColdFusion 2021 アップデートを適用する際の参考情報
      • Update 2は、Update 1に続きコアの更新ファイルのみ提供されているため、下記の「手動でアップデータを適用する場合の注意事項」のみお読みください
    • 手動でアップデータを適用する際の注意事項
• UpdateはColdFusion Administratorの「パッケージマネージャー」から行います。『コアサーバー』と更新対象の『インストール済みのパッケージ』の両方に更新の記載が表示されますが、『コアサーバー』の更新を行えば、Update対象の『インストール済みのパッケージ』も合わせて更新されます
  1. Updateの通知…「アップデートを自動的に確認」を有効にしていると、ログイン時に最新のUpdateを確認します。Updateが見つかった場合は、「コアサーバー▼」の横に数字マークが表示されます
     
     ↑「アップデートを自動的に確認」を無効にしている場合は、[アップデートを確認]ボタンを押して、アップデートの有無を確認してください
      
  2. 『コアサーバー』の更新を行う際に、そのUpdateを対象したパッケージの更新がある場合は、[ダウンロードしてインストール]ボタンを押した際に、確認ダイヤログに表示されます。Update処理を進めると、対象のパッケージは一旦アンインストールされ、そのあとに自動的に行われるColdFusionの再起動の中で更新後のパッケージがインストールされます
      
  3. Updateのインストール中のステップは、旧バージョンと同じです。Update（コアサーバー）のインストールが終われば、自動で再起動されます。しばらく待つと、再起動されたメッセージが表示されますので、[OK]を押してください。
     
     • 時間が掛かりすぎた場合などは、タイムアウトすることもあります。「時間がかかりすぎています」のメッセージが表示された場合は[OK]ボタンを。何も表示されないor砂時計マークなどの場合は、ブラウザの更新を行ってください。ColdFusion Administratorのログインが表示されたらログインを行い、Updateが適用されたかどうかを確認してください
     • 本番環境など負荷が高い環境では、Update適用後に自動で行われるColdFusionの再起動がタイムアウトを起こすことがあります。その場合は、手動でColdFusionを起動し、起動後にAdministratorにログインしてUpdateが適用されたかどうかを確認してください
        
• （注意）Unix環境では、手動でUpdateを適用した際は、そのUpdateを実行してユーザーで、新規フォルダやファイルが作成されます。また、再起動も手動でUpdateを実行したユーザーで行われる模様です。そのため、本来と異なる起動ユーザーでColdFusionが実行され、ファイル・フォルダの権限不足エラーなど、動作の障害や404エラーの発生を招くことがあります。この状態になった場合は、Update適用後に再起動された ColdFusion 2023を停止し、下記の手順を実施した後、改めて、通常の方法でColdFusionを起動してください
  【参考手順】
  1. ColdFusion を停止します
       [cf_root]/cfusion/bin/coldfusion stop
       [cf_root]/cfusion/jetty/cfjetty stop
  2. ColdFusionインストール配下のファイル・フォルダ権限を ColdFusion実行ユーザーに変更します
     例（sudoを利用）：sudo chown -R [ColdFusion Runtime User] [Path to ColdFusion instance
  3. 次に /tmp/ フォルダ内に customcache.index と customcache.data ファイルが存在しないかを確認します。存在する場合、/tmp/customcache.index と /tmp/customcache.data のファイルがColdFusion実行ユーザーになっているかを確認し、異なるユーザー（アップデータ適用時のユーザー）の場合は、ColdFusion実行ユーザーに変更します
     例（sudoを利用）：sudo chown -R [ColdFusion Runtime User] /tmp/customcache.*
  4. ColdFusion を起動します（OSのサービス起動コマンドで起動している場合はそちらで起動してください）
  5.   [cf_root]/cfusion/bin/coldfusion start
       [cf_root]/cfusion/jetty/cfjetty start (Jetty サービスを使用している場合）

アップデートのポイント

• 本番環境へのアップデータを適用前に、テスト環境等でUpdateの適用方法の確認とUpdate適用後の十分な動作確認を行って下さい
  • ColdFusion Administratorを利用した更新を行う場合の一般的な手順や注意事項等については、下記のFAQをご参考ください
    • アップデートを適用する手順の参考情報
  • プロキシ環境下でColdFusionを実行されている場合は、「パッケージマネージャー ＞ 設定」でプロキシ設定を追加してください
  • サーバー自動ロックダウンを使用してサーバーがロックダウンしている環境や、インターネットに接続が制限されるネットワーク下の環境などでColdFusion Administratorの更新機能が使えない場合は、手動でUpdateを適用する方法をお試しください。詳しくは、下記の記事をご参考下さい
    • オフラインやクローズド環境でColdFusion 2021 アップデートを適用する際の参考情報
      • Update 2は、Update 1に続きコアの更新ファイルのみ提供されているため、下記の「手動でアップデータを適用する場合の注意事項」のみお読みください
      手動でアップデータを適用する際の注意事項
• ColdFusion 2016以降、ColdFusion Administrator（/CFIDE/administrator）へのアクセスは同梱のWebサーバー（デフォルトポート8500）で行います
  • 攻撃者からのリスクを軽減するために、ColdFusion 2016以降は内部Webサーバーを使用したAdministratorへのアクセスが強く推奨され、デフォルトの状態で外部Webサーバーを経由したAdministratorへのアクセスがブロックされています。外部Webサーバーを使用（経由）した Administratorへのアクセスは推奨されておらず、推奨されていない機能に関連する問題が発生した場合でもメーカーはサポートを行いません
     

その他の情報がある場合は、確認次第、情報を追記・修正致します

記事公開日：2023年07月16日
最終更新日：2023年07月21日