- ひとことでOracle Java の実行環境で、詳細不明の弱点が悪用されたものです
- 深刻度9.8 緊急CVSS v3.1
- まずやることパソコンの Java の版を調べる
基本情報（データから表示）
| CVE番号 | CVE-2010-0840 |
|---|---|
| 製品 | Oracle Java Runtime Environment (JRE) |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-05-25 |
| 米国政府機関の対応期限 | 2022-06-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | 不明 |
何が起きた
Oracle Java Runtime Environment (JRE) に、情報が漏れる、書き換えられる、使えなくなるおそれがある弱点が見つかりました。ネットワーク経由で、ログインなしに悪用できるとされています。NVD によると、ある研究者は、特別な権限で動く処理の確かめ方が不十分で任意のコードを動かせると説明していますが、Oracle はこれについて説明していません。実際に悪用されたことが確認されています。
誰が影響を受ける
Oracle の案内では、JDK と JRE 6 Update 18 以前、JDK 5.0 Update 23 以前、SDK 1.4.2_25 以前（Java SE と Java for Business）が影響を受けます。Oracle によると、信頼できない Java アプレットや Java Web Start のアプリを通じて悪用されるおそれがあります。
何をすればいい
Oracle の 2010年3月の Critical Patch Update 以降の更新を当て、Java を最新版にしてください。当時の修正版は JDK と JRE 6 Update 19 などです。Oracle は、修正をできるだけ早く当てるよう強くすすめています。公式の案内を確認してください。
やることチェックリスト
- パソコンの Java の版を調べる
- Java を最新版に更新する
- 知らないサイトの Java アプレットを動かさないようにする
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Oracle JRE Unspecified Vulnerability
概要
Unspecified vulnerability in the Java Runtime Environment (JRE) in Java SE component allows remote attackers to affect confidentiality, integrity, and availability via Unknown vectors.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る