- ひとことでOracle Java SE の設定の不備で、Java の安全な囲いを抜けられる問題です。
- 深刻度9.8 緊急CVSS v3.1
- まずやることJava SE 7 Update 7 以前を最新版に更新する
基本情報（データから表示）
| CVE番号 | CVE-2012-5076 |
|---|---|
| 製品 | Oracle Java SE |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-03-28 |
| 米国政府機関の対応期限 | 2022-04-18 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | 不明 |
何が起きた
Oracle Java SE の初期のセキュリティ設定が、一部のパッケージ（com.sun.org.glassfish.external と com.sun.org.glassfish.gmbal）への利用を制限していませんでした。CISA の概要では、信頼できない Java アプリやアプレットが、Java のサンドボックス（安全な囲い）の制限を抜けられるとされています。NVD に登録された CISA の評価では、ネットワーク経由で、ログイン不要で悪用できるとされ、実際の悪用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
NVD の説明と Oracle の 2012年10月の Critical Patch Update では、Java SE 7 Update 7 以前が対象です。JAX-WS（Java でウェブサービスを扱う部品）に関わる弱点です。
何をすればいい
Oracle の 2012年10月の Critical Patch Update 以降の修正が入った Java に更新されているか確認してください。Oracle は、ブラウザーで Java を使う人は java.com から最新版を入手でき、Windows では自動更新も使えると案内しています。あわせて、公式の案内を確認してください。
やることチェックリスト
- Java SE 7 Update 7 以前を最新版に更新する
- パソコンに入っている Java の版を調べる
- Windows では Java の自動更新を使う
用語メモ
- サンドボックス 用語集で見る
- 信頼できないプログラムを、できることを制限した囲いの中で動かす仕組みです。
- アプレット
- ウェブページの中で動く小さな Java のプログラムです。
- JAX-WS
- Java でウェブサービスを作ったり呼び出したりするための部品です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Oracle Java SE Sandbox Bypass Vulnerability
概要
The default Java security properties configuration did not restrict access to the com.sun.org.glassfish.external and com.sun.org.glassfish.gmbal packages. An untrusted Java application or applet could use these flaws to bypass Java sandbox restrictions.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る