Oracle Java Runtime Environment (JRE) のリモートコード実行の脆弱性（CVE-2013-0422）

何が起きた

Oracle Java 7 で、Java アプレットの権限を制限する仕組みに弱点が見つかりました。悪用されると、離れた場所の攻撃者が、任意の（攻撃者が好きに選べる）コードを動かせます。ネットワーク経由で、ログインなしに悪用できるとされ、実際に悪用されたことが確認されています。ランサムウェアの攻撃に使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle の案内では、JDK と JRE 7 Update 10 以前が影響を受けます。JDK と JRE 6、5.0、1.4.2 と Java SE Embedded は影響を受けません。Oracle によると、関係するのは Web ブラウザーで動く Java で、サーバー上の Java や単独で動くアプリは対象外です。

何をすればいい

Java 7 Update 11 以降に更新し、できれば最新版にしてください。Oracle は、この修正を当てるよう強くすすめています。この修正では、Java のセキュリティレベルの初期設定が「中」から「高」に変わり、署名のないアプレットが動く前に毎回確認が出るようになります。公式の案内を確認してください。

やることチェックリスト

• Java 7 Update 11 以降に更新する
• Java のセキュリティレベルを「高」にする
• Java を最新版に更新する

用語メモ

Java アプレット

Web ページの中で動く小さな Java のプログラムです。

セキュリティレベル

Java が、Web ページのプログラムをどこまで動かしてよいかを決める設定です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりにお金を求める悪いプログラムです。