CVEノート

最近の脆弱性 › CVE-2012-5076

Oracle Java SE の脆弱性（CVE-2012-5076）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2012-5076
製品Oracle Java SE
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-28
米国政府機関の対応期限2022-04-18
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

Oracle Java SE の初期のセキュリティ設定が、一部のパッケージ（com.sun.org.glassfish.external と com.sun.org.glassfish.gmbal）への利用を制限していませんでした。CISA の概要では、信頼できない Java アプリやアプレットが、Java のサンドボックス（安全な囲い）の制限を抜けられるとされています。NVD の評価では、ネットワーク経由で、ログイン不要で悪用できるとされ、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した Java アプレットを用意する → 2. 利用者の Java がそれを動かす → 3. サンドボックスの制限を抜け出す1攻撃者が細工した Java アプレットを用意する2利用者の Java がそれを動かす3サンドボックスの制限を抜け出す攻撃の流れ: 1. 攻撃者が細工した Java アプレットを用意する → 2. 利用者の Java がそれを動かす → 3. サンドボックスの制限を抜け出す1攻撃者が細工した Java アプレットを用意する2利用者の Java がそれを動かす3サンドボックスの制限を抜け出す

誰が影響を受ける

NVD の説明と Oracle の 2012年10月の Critical Patch Update では、Java SE 7 Update 7 以前が対象です。JAX-WS（Java でウェブサービスを扱う部品）に関わる弱点です。

何をすればいい

Oracle の 2012年10月の Critical Patch Update 以降の修正が入った Java に更新されているか確認してください。Oracle は、ブラウザーで Java を使う人は java.com から最新版を入手でき、Windows では自動更新も使えると案内しています。あわせて、公式の案内を確認してください。

やることチェックリスト

用語メモ

サンドボックス
信頼できないプログラムを、できることを制限した囲いの中で動かす仕組みです。
アプレット
ウェブページの中で動く小さな Java のプログラムです。
JAX-WS
Java でウェブサービスを作ったり呼び出したりするための部品です。

元データ（英語・CISA KEV より）

Oracle Java SE Sandbox Bypass Vulnerability

概要

The default Java security properties configuration did not restrict access to the com.sun.org.glassfish.external and com.sun.org.glassfish.gmbal packages. An untrusted Java application or applet could use these flaws to bypass Java sandbox restrictions.

推奨対応

Apply updates per vendor instructions.

公式情報