最近の脆弱性 › CVE-2012-4681

Oracle Java SE の脆弱性（CVE-2012-4681）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2012-4681
製品	Oracle Java SE
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-03-03
米国政府機関の対応期限	2022-03-24
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	不明

何が起きた

Oracle の Java SE の実行環境（JRE）に、安全のための制限（SecurityManager）をすり抜けられる弱点が見つかり、実際に悪用が確認されています。細工したアプレット（ウェブページの中で動く Java のプログラム）によって、攻撃者が任意の（好きに選んだ）プログラムを動かせるおそれがあります。NVD の評価では、ネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされていますが、Oracle は、利用者がブラウザーで悪意のあるウェブページを開く必要があると説明しています。ランサムウェアの攻撃に使われたことも知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Java SE 7 Update 6 以前が影響を受けます。Oracle のセキュリティアラートでは、対象は JDK と JRE の 7 Update 6 以前と 6 Update 34 以前で、ウェブブラウザーの中で動く Java に関するものです。サーバーで動く Java や、単体で動くデスクトップの Java アプリには当てはまらないとされています。

何をすればいい

Oracle は、このセキュリティアラートで出した更新をできるだけ早く適用するよう強く勧めています。Oracle の Java SE 7 Update 7 のリリースノートでは、この版にこのアラートの弱点の修正が含まれると説明されています。使っている Java が 7 Update 6 以前になっていないか確かめ、7 Update 7 以降に更新してください。

やることチェックリスト

ブラウザーで使う Java の版番号を確かめる
Java 7 は 7 Update 7 以降に更新する
Oracle のセキュリティアラートの更新を適用する

用語メモ

JRE: Java Runtime Environment の略で、Java で作られたプログラムを動かすためのソフトです。
アプレット: ウェブページの中に組み込まれて、ブラウザーで動く小さな Java のプログラムです。
SecurityManager: Java のプログラムができることを制限して、危ない操作をさせないための仕組みです。
ランサムウェア: ファイルを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

元データ（英語・CISA KEV より）

Oracle Java SE Runtime Environment (JRE) Arbitrary Code Execution Vulnerability

概要

The Java Runtime Environment (JRE) component in Oracle Java SE allow for remote code execution.

推奨対応

Apply updates per vendor instructions.