Oracle Java SE の脆弱性（CVE-2015-4902）

何が起きた

Oracle Java SE の Deployment（Java のアプリをパソコンに届けて動かす仕組み）に関わる部分に弱点が見つかりました。弱点の中身や悪用の方法は公表されておらず不明ですが、攻撃者が情報を書き換えられる（完全性に影響する）おそれがあります。NVD に登録された CISA の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際に悪用が確認されています。

誰が影響を受ける

Oracle の 2015年10月 の Critical Patch Update によると、Java SE 6u101、Java SE 7u85、Java SE 8u60 が影響を受けます。Oracle は、この弱点はパソコンなどで使うクライアント側の Java だけに当てはまり、サンドボックスで動く Java Web Start のアプリや Java アプレットを通してだけ悪用できると説明しています。

何をすればいい

Oracle は、Critical Patch Update の修正をできるだけ早く適用するよう強く勧めています。Oracle の勧告には、この弱点が直った版の番号は書かれていません。目安として、同じ時期に出た JDK 8u65 のリリースノートには、セキュリティの修正が含まれ、この時点のセキュリティベースライン（安全の基準となる版）は Java 8 が 1.8.0_65、Java 7 が 1.7.0_91、Java 6 が 1.6.0_105 と書かれています。この版以降の Java に更新してください。修正を当てるまでは、攻撃に必要な通信をブロックすることで危険を減らせる場合があるとされています。公式の案内も確認してください。

やることチェックリスト

• Java 8 を 1.8.0_65 以降の版に更新する
• Critical Patch Update の修正を早めに適用する
• 修正前は攻撃に使われる通信をブロックする

用語メモ

Critical Patch Update 用語集で見る

Oracle が決まった時期にまとめて出す、セキュリティ修正の集まりです。

Java Web Start

Web から Java のアプリを取ってきて、パソコンで動かすための仕組みです。

サンドボックス 用語集で見る

プログラムを、できることを制限した囲いの中で動かす仕組みです。

セキュリティベースライン

その時点で知られているセキュリティの修正が入っている、いちばん低い版のことです。