ColdFusion 2023 アップデート 25 についての参考情報

【注意１】

1. このUpdateでは、複数の不具合修正やライブラリの更新が行われています。そのため、まずはテスト環境等にUpdate 25をインストールして、運用しているアプリケーションが正常に動作するかを確認してください。
   • 詳しくは、上記のUpdate 25についてのテックノートに記載されている「What's new and changed」や「Bugs fixed in the update」を確認してください。
      
2. このUpdateでは 30個以上のパッケージの更新が行われます。
   • オンラインでのUpdateの場合、ダウンロードするパッケージファイルや関連するライブラリファイルが多いため、Updateの処理に時間が掛かったり、場合によっては一部のパッケージの更新に失敗する可能性があります。
   • Update 25を適用した後、ColdFusion Administratorの「パッケージマネージャー ＞ パッケージ」画面を開き、以下を確認してください
     • 「インストール済みのパッケージ」の項目を展開し、インストール済みのパッケージ一覧で更新が残っているパッケージが無いかを確認してください。
       • [アップデートを確認]ボタンを押すと、オンラインはアドビのパッケージサイト、オフラインの場合はUpdate 25をダウンロード・配置し指定したパスからファイルを検索します。
       • 例えば administrator や adminapi、zipなどのパッケージが Update 25に更新されていなかった場合は、更新されていなかったパッケージを選択して、使用可能なバージョンで「2023.0.25.330977」を選択して[アップグレード]を実行してください
       • もしくはパッケージマネージャー（[cf_root]/{インスタンス(cfusion等)}/bin 内の cfpm.bat / cfpm.sh）を実行し、「update all」を実行してください
     • 「使用可能なパッケージ」の項目を展開し、インストールされなかったパッケージがある場合（予めアンインストールしていたパッケージを除く）は、パッケージを選択して、使用可能なバージョンが「2023.0.25.330977」となっているのを確認して[インストール]を実行してください。
       • 複数のパッケージが更新されなかった場合は[すべてをインストール]ボタンを押してください（予めアンインストールしているパッケージがある場合は、再度アンインストールしてください）
          
3. ColdFusion Administratorの「セキュリティ ＞ サンドボックスセキュリティ」の『ColdFusion サンドボックスセキュリティの有効化』が有効（チェックされている）場合や、無効（チェックされていない）でも以前に有効にした際の設定が残っている（画面下部の「定義されたディレクトリ権限」に設定が残っている）場合、Update 25を適用した後から ColdFusion は起動に失敗します。
   • この条件に該当される方は、上記のUpdate 25についてのテックノート「Known issues in the update」に記載されているリンクから commons-io.jar ファイルをダウンロードし、[cf_root]/{インスタンス(cfusion等)}/lib 内にある同ファイルと置き換えてください。
     • exception.log には、以下のエラーが出力されます
       "Error","main","09/24/26","18:59:00","","Unable to initialise CFStartupServlet:org/apache/commons/io/FileUtils Could not initialize class coldfusion.vfs.VFile Could not initialize class coldfusion.vfs.VFile Could not initialize class coldfusion.vfs.VFile "
       "Error","main","09/24/26","18:59:08","","Security パッケージをインストールできません : coldfusion.server.ServiceException: org/apache/commons/io/FileUtils Could not initialize class coldfusion.vfs.VFile Could not initialize class coldfusion.vfs.VFile Could not initialize class coldfusion.vfs.VFile "
       coldfusion.server.ServiceException: org/apache/commons/io/FileUtils Could not initialize class coldfusion.vfs.VFile Could not initialize class coldfusion.vfs.VFile Could not initialize class coldfusion.vfs.VFile
        
4. [cf_root]/{インスタンス(cfusion等)}/lib にあるpathfilter.jsonファイルの内容を独自に修正・変更している場合（例えば、スケジュールタスクの出力をファイルに保存するためのパスをpathfilter.jsonファイルに追加されている場合など）、このUpdateを適用した後に、pathfilter.jsonファイルがデフォルトに戻されていないか確認し、戻されている場合は独自の修正・変更をし直してください。
   • Update 17～24から25を適用した場合
     •  バックアップされたpathfilter.jsonファイルを元の場所に置き直してください
       • それまでのpathfilter.jsonが[cf_root]/{インスタンス(cfusion等)}/hf-updates/hf-2023-00025-330977/backup/lib 内にファイルがバックアップされます。バックアップされたpathfilter.jsonを[cf_root]/{インスタンス(cfusion等)}/lib内に置き直して ColdFusion を再起動してください。
   • Update 16 以前から Update 25を適用した場合
     • [cf_root]/{インスタンス(cfusion等)}/lib内に配置されているpathfilter.jsonファイルに独自の修正・変更をし直してください。
       • それまでのpathfilter.jsonが[cf_root]/{インスタンス(cfusion等)}/hf-updates/hf-2023-00025-330977/backup/lib 内に置かれていますが、そのファイルは元の場所に戻さないでください（上書きするのではなく、[cf_root]/{インスタンス(cfusion等)}/lib にあるpathfilter.jsonに独自に修正・変更した内容を再度設定し直してください）。
   • pathfilter.jsonファイルに「スケジュールタスクの出力をファイルを保存」するためにpathfilter.jsonに修正・変更を加えている場合は、pathfilter.jsonに書き加えた後に、ColdFusion Administratorの「サーバーの設定 ＞ スケジュールされたタスク」で、「パブリッシュ」の『 □出力をファイルに保存 』を有効にしているタスクが残っているかを確認してください。
      
5. [cf_root]/{インスタンス(cfusion等)}/lib内の serialfilter.txtファイルやcfserialfilter.txtファイルの設定内容を変更されている場合は、Updateを適用した後に、念のためそれらのファイルがデフォルトの状態に戻されていないかを確認してください。
    
6. このアップデートは ColdFusion Administrator からアンインストールすることができません。
   • https://tracker.adobe.com/#/view/CF-4234125
   • このUpdate のアンインストールを行いたい場合は手動でアンインストールを行ってください。
      
7. その他の情報は上記の開発元の Updateページの情報を確認してください。

【注意２】

いくつかのUpdateをスキップしてUpdate 25を適用した際は、過去のUpdate で行われた変更による影響が生じる場合があります。代表的なものを以下に記載しますので、該当される場合は、以前のUpdateの参考情報ページも確認してください。

• Update 7: 暗黙のスコープ処理の変更の影響：一部変数の暗黙スコープ処理の変更について
• Update 8: 関数のデフォルト暗号アルゴリズムの変更の影響：暗号アルゴリズムのデフォルトの変更について
• Update 13: cfencodeを使用して暗号化したソースコード・プリコンパイル済みコードがある場合の影響：Update 13の参考情報ページ
• Update 14: CFCでリモートからのアクセスを許可しているメソッド（access="remote"を指定しているメソッド）の引数の定義の整合性が厳しくなったほか、スケジュールタスクの設定で実行結果をパブリッシュ（ファイルに書き出し）を有効にしている場合は書き出し先のパスをpathfilter.jsonファイルに指定する必要があるなどの影響：Update 14の参考情報ページ
• Update 15:多くのパッケージやライブラリ・Tomcatエンジンが更新されています。spreadsheetの処理を行っている場合やcfmailを使用している場合は注意が必要です：Update 15の参考情報ページ
• Update 17:デフォルトですべてのクラスのデシリアル化をブロックします。また、スコープインジェクションに対する修正が加えられ、CFCやUDFの引数の名前に予約語を使用している場合、Update適用後に動作が異なる場合があるため注意してください：Update 17の参考情報ページ
• Update 21:cfpopやcfimapなどでメールの添付ファイルの受信処理に拡張子による制限が加えられました：Update 21の参考情報ページ
• Update 23:websocketのセキュリティ強化などが行われています：Update 23の参考情報ページ
• Update 24:ストアドプロシージャーのプロシージャ名やdbVarNameに対するインジェクションを防止するための対策が行われています：Update 24の参考情報ページ

【注意３】
Update 25ではWebサーバーコネクタの更新は行われていませんが、Update 4以前の環境からUpdate 25を適用した際は、Update 25を適用した後、接続コネクタの「再定義（一旦コネクタを削除し、再登録）」を行ってください。
webサーバー設定ツールを起動し、既存のwebサーバーとの接続設定を全て削除します。削除後は、再び前回と同様の設定でWebサーバーとの接続を行って下さい
※「Webサーバー設定ツール」の起動方法についてのColdFusionマニュアル
https://helpx.adobe.com/jp/coldfusion/configuring-administering/web-server-management.html#WebServerManagement-Webserverconfiguration
※参考記事「ColdFusionクリニック」
http://forum.samuraiz.co.jp/cfclinic/foundation/003_wsconfig.html

【注意】コネクタ関連に修正や設定の変更や追加を行っている場合は、接続コネクタの再定義によりそれらの値が初期値に戻りますので、コネクタの再登録後に変更設定をやり直してください（特にApacheと接続している場合は、cf_scriptsのエイリアスの変更などを mod_jk_vhost.conf に行っていますので、再登録後にその設定を再び反映させるのを忘れないようにしてください）。接続コネクタの追加や削除時に{cf_install_home}/config/wsconfig/backup フォルダに既存の設定がバックアップされていますので、バックアップしたそれらファイルの内容と比較して、変更を行って下さい。

【注意】Apacheとの接続を行っている際は、再定義（一旦コネクタを削除し、再登録）によって、再び 503エラーが発生するようになります。接続コネクタの再定義によりそれらの値が初期値に戻るためです。コネクタの再登録後に変更設定をやり直してください。Webサーバー（Apache等）と接続後、.cfmページのリクエストが503エラーになる

攻撃者からのリスクを軽減するために、ColdFusion 2016以降は内部Webサーバーを使用したAdministratorへのアクセスが強く推奨され、デフォルトの状態でも外部Webサーバーを経由したAdministratorへのアクセスがブロックされています。外部Webサーバーを使用（経由）した Administratorへのアクセスは推奨されておらず、推奨されていない機能に関連する問題が発生した場合メーカーはサポートを行わないためです

【注意４】
アドビでは、セキュリティへの備えが必要となるサイトでColdFusionを使用する 場合は、ColdFusionが使用するJavaを最新のリビジョンにすることを推奨しています。UpdateにはJavaの更新は含まれないため、Updateとは別にJavaのインストールとColdFusionのJVM設定の変更が必要となります。サポートするJavaのバージョンやインストール方法・JVM設定の変更方法については、以下の FAQ をご確認ください。

ColdFusionがサポートするJavaについて

ColdFusionが使用するJVMを変更する方法について（再更新）

また、アドビでは、ColdFusion セキュリティ ページに概要が記載されているセキュリティ構成設定を確認するとともに、それぞれのロックダウン ガイドを適用することを推奨しています。    

ColdFusion 2023 Lockdown Guide

※記事中の「サーバー自動ロックダウン」インストーラーについては、強力なセキュリティ設定をインストール・ウィザード形式でステップで行っていける半面、「ColdFusionの実行ユーザー」の変更や「ファイルシステムのアクセス許可の変更によりwebルート以下の書き込みの制限」、「Webサーバー設定」の変更など、既存の運用に影響を生じることが考えられます。そのため、実稼働環境に導入する前に、すべての推奨事項を分離されたテスト環境でテストすることが強く推奨されています。

上記のロックダウンガイドに沿って手動で設定を変更していくことなども検討してください。以下のFAQも参考にしてください

サーバーのロックダウンについての参考情報

【補足】

• Update 25にはUpdate 1～24の修正も含まれていますので、個々にひとつずつUpdateを適用していく必要はありません。
• Update 25の Tomcatのバージョンは、Update 23～24と同じ 9.0.120.0 です。
• Update 25では、adminapi, administratorをはじめとする30個以上のパッケージが更新されます。
• Updateについて、後から補足や既知の問題に関する情報が追加される場合があります。それらは、Update 25 の tech notesページやセキュリティ情報（ページの最初にリンク先を紹介）に追記されていきますので、Update適用の際には念のためそれらに注意点等が記載されていないかを確認してください。