Oracle Java SE JDK and JRE の脆弱性（CVE-2011-3544）

何が起きた

Oracle Java SE の実行環境 JRE（Java Runtime Environment）の、スクリプトを扱う部分（Rhino Script Engine）でのアクセス制御に弱点が見つかりました。CISA によると、攻撃者は離れた場所から任意のコード（攻撃者が好きに選べるプログラム）を実行できます。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、被害者の操作なしに悪用できます。CISA は、この脆弱性が実際に悪用されたことを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle の2011年10月の Critical Patch Update によると、JDK と JRE の 7 と、6 Update 27 以前が影響を受けます。Oracle によると、Java のクライアント環境（パソコンなど）だけに当てはまり、信頼されていない Java Web Start アプリケーションや Java アプレットを通じて悪用されます。

何をすればいい

Oracle は2011年10月の Critical Patch Update でこの弱点を直しています。Java SE の修正は累積で、最新の Critical Patch Update には以前の修正がすべて含まれるため、Java を最新の版に更新してください。6 Update 27 以前などの古い Java が残っていないかも確かめてください。あわせて、公式の案内を確認してください。

やることチェックリスト

• Java を最新の版に更新する
• 最新の Critical Patch Update を適用する
• 6 Update 27 以前の Java を使い続けないようにする

用語メモ

JRE

Java Runtime Environment の略で、Java で作られたプログラムを動かすためのソフトです。

Critical Patch Update

Oracle が定期的に出す、まとめてのセキュリティ修正です。

Java アプレット

Web ページの中などで動く小さな Java のプログラムです。