CVEノート

最近の脆弱性 › CVE-2013-0431

Oracle Java Runtime Environment (JRE) の脆弱性（CVE-2013-0431）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2013-0431
製品Oracle Java Runtime Environment (JRE)
深刻度（CVSS）3.7 注意CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
KEVへの追加日2022-05-25
米国政府機関の対応期限2022-06-15
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）不明

何が起きた

Oracle Java Runtime Environment (JRE) に、JMX という部分に関係する弱点が見つかりました。悪用されると、Java のサンドボックス（危ないプログラムを閉じ込める囲い）を抜けられるおそれがあります。NVD の説明では、離れた場所の攻撃者が、利用者の操作の助けを借りて悪用します。実際に悪用されたことが確認されており、ランサムウェアの攻撃に使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した Java アプレットを用意する → 2. 利用者の操作でそれが動く → 3. サンドボックスの外に抜け出す1攻撃者が細工した Java アプレットを用意する2利用者の操作でそれが動く3サンドボックスの外に抜け出す攻撃の流れ: 1. 攻撃者が細工した Java アプレットを用意する → 2. 利用者の操作でそれが動く → 3. サンドボックスの外に抜け出す1攻撃者が細工した Java アプレットを用意する2利用者の操作でそれが動く3サンドボックスの外に抜け出す

誰が影響を受ける

Oracle Java SE 7 Update 11 以前と、OpenJDK 7 を使っている人・組織です。Oracle の説明では、パソコン側の Java だけが関係します。

何をすればいい

Oracle の 2013年2月の Critical Patch Update 以降の更新を当て、Java を最新版にしてください。Oracle によると、この弱点は信頼できない Java アプレットや Java Web Start のアプリを通じて悪用されます。公式の案内を確認してください。

やることチェックリスト

用語メモ

サンドボックス
信頼できないプログラムを、できることを制限した囲いの中で動かす仕組みです。
JMX
Java のプログラムの状態を見たり管理したりするための仕組みです。
ランサムウェア
ファイルを使えなくして、元に戻す代わりにお金を求める悪いプログラムです。

元データ（英語・CISA KEV より）

Oracle JRE Sandbox Bypass Vulnerability

概要

Unspecified vulnerability in the Java Runtime Environment (JRE) component in Oracle allows remote attackers to bypass the Java security sandbox.

推奨対応

Apply updates per vendor instructions.

公式情報