- ひとことでOracle Fusion Middleware のログイン部品にある、リダイレクトに関わる弱点です。
- 深刻度4.7 警告CVSS v3.1
- まずやることSingle Sign-On の 10.1.4.3.0 を使っているか調べる
基本情報（データから表示）
| CVE番号 | CVE-2012-0518 |
|---|---|
| 製品 | Oracle Fusion Middleware |
| 深刻度（CVSS） | 4.7 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N |
| KEVへの追加日 | 2022-03-28 |
| 米国政府機関の対応期限 | 2022-04-18 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-601（オープンリダイレクト） |
何が起きた
Oracle Fusion Middleware の Oracle Application Server Single Sign-On（一度のログインで複数のサービスを使える仕組み）に弱点が見つかりました。NVD の説明では、攻撃者がデータの正しさ（完全性）に影響を与えられるとされ、リダイレクト（別のページへの転送）に関わる問題です。NVD の評価では、ネットワーク経由で、ログイン不要で悪用できますが、利用者の操作が必要です。実際の悪用も確認されています。
誰が影響を受ける
NVD の説明と Oracle の 2012年10月の Critical Patch Update では、Oracle Application Server Single Sign-On の 10.1.4.3.0 が対象です。この製品を使っている組織が影響を受けます。
何をすればいい
Oracle の 2012年10月の Critical Patch Update の修正が適用されているか確認してください。Oracle は、修正は Premier Support か Extended Support の期間にある版にだけ提供されるため、修正を受けられる版を使えるよう製品のアップグレードを計画するよう勧めています。あわせて、公式の案内を確認してください。
やることチェックリスト
- Single Sign-On の 10.1.4.3.0 を使っているか調べる
- 2012年10月の修正を適用する
- 修正を受けられる版へのアップグレードを計画する
用語メモ
- Single Sign-On
- 一度ログインするだけで、複数のサービスを使えるようにする仕組みです。
- リダイレクト
- あるページを開いたときに、自動で別のページへ転送することです。悪用されると偽のサイトへ誘導されることがあります。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Oracle Fusion Middleware Unspecified Vulnerability
概要
Unspecified vulnerability in the Oracle Application Server Single Sign-On component in Oracle Fusion Middleware allows remote attackers to affect integrity via Unknown vectors
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る