Oracle Java SE の脆弱性（CVE-2012-0507）

何が起きた

Oracle Java SE の実行環境 JRE（Java Runtime Environment）の Concurrency という部分に、データの型を正しく確かめない弱点が見つかりました。CISA によると、攻撃者は離れた場所から任意のコード（攻撃者が好きに選べるプログラム）を実行できます。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、被害者の操作なしに悪用できます。CISA は実際の悪用を確認しており、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle の2012年2月の Critical Patch Update によると、JDK と JRE の 7 Update 2 以前、6 Update 30 以前、5.0 Update 33 以前が影響を受けます。Oracle によると、Java のクライアント環境（パソコンなど）だけに当てはまり、信頼されていない Java Web Start アプリケーションや Java アプレットを通じて悪用されます。

何をすればいい

Oracle は2012年2月の Critical Patch Update でこの弱点を直しています。Java SE の修正は累積で、最新の Critical Patch Update には以前の修正がすべて含まれるため、Java を最新の版に更新してください。7 Update 2 以前などの古い Java が残っていないかも確かめてください。あわせて、公式の案内を確認してください。

やることチェックリスト

• Java を最新の版に更新する
• 最新の Critical Patch Update を適用する
• 7 Update 2 以前の Java を使い続けないようにする

用語メモ

JRE

Java Runtime Environment の略で、Java で作られたプログラムを動かすためのソフトです。

Critical Patch Update

Oracle が定期的に出す、まとめてのセキュリティ修正です。

Java アプレット

Web ページの中などで動く小さな Java のプログラムです。