Oracle Java SE のリモートコード実行の脆弱性（CVE-2015-2590）

何が起きた

Oracle Java SE と Java SE Embedded の Libraries（Java が標準で持っている部品の集まり）に弱点が見つかりました。弱点の中身は公表されておらず不明ですが、悪用されると情報を盗み見られたり、書き換えられたり、止められたりするおそれがあり、CISA は任意の（攻撃者が好きに選べる）プログラムを動かされる弱点としています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際に悪用が確認されています。

誰が影響を受ける

Oracle の 2015年7月 の Critical Patch Update によると、Java SE 6u95、Java SE 7u80、Java SE 8u45、Java SE Embedded 7u75、Java SE Embedded 8u33 が影響を受けます。Oracle は、この弱点はパソコンなどで使うクライアント側の Java だけに当てはまり、サンドボックスで動く Java Web Start のアプリや Java アプレットを通してだけ悪用できると説明しています。

何をすればいい

Oracle は、Critical Patch Update の修正をできるだけ早く適用するよう強く勧めています。Oracle の勧告には、この弱点が直った版の番号は書かれていません。目安として、同じ時期に出た JDK 8u51 のリリースノートには、セキュリティの修正が含まれ、この時点のセキュリティベースライン（安全の基準となる版）は Java 8 が 1.8.0_51、Java 7 が 1.7.0_85、Java 6 が 1.6.0_101 と書かれています。この版以降の Java に更新してください。修正を当てるまでは、攻撃に必要な通信をブロックすることで危険を減らせる場合があるとされています。公式の案内も確認してください。

やることチェックリスト

• Java 8 を 1.8.0_51 以降の版に更新する
• Critical Patch Update の修正を早めに適用する
• 修正前は攻撃に使われる通信をブロックする

用語メモ

Critical Patch Update

Oracle が決まった時期にまとめて出す、セキュリティ修正の集まりです。

Java Web Start

Web から Java のアプリを取ってきて、パソコンで動かすための仕組みです。

サンドボックス

プログラムを、できることを制限した囲いの中で動かす仕組みです。

セキュリティベースライン

その時点で知られているセキュリティの修正が入っている、いちばん低い版のことです。