Red Hat JBoss Application Server のリモートコード実行の脆弱性（CVE-2017-12149）

何が起きた

Red Hat JBoss Enterprise Application Platform 5.2 に含まれる JBoss Application Server で、HTTP Invoker という機能が受け取ったデータを、種類を確かめずに元のオブジェクトに戻して（デシリアライズして）しまう弱点が見つかりました。そのため、細工したデータを送るとサーバー上で任意の（攻撃者が好きに選べる）コードを実行されます。CISA によると、実際に悪用が確認されており、ランサムウェアの攻撃での悪用も知られています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Red Hat JBoss Enterprise Application Platform 5.2 に含まれる JBoss Application Server を使っている人・組織が影響を受けます。

何をすればいい

Red Hat は、この弱点を直す更新を RHSA-2018:1607 などで公開しています。Red Hat の公式の案内を確認し、更新を当ててください。Red Hat の案内では、更新の前にいまの環境をバックアップするよう書かれています。

やることチェックリスト

• RHSA-2018:1607 の更新を当てる
• 更新の前に今の環境をバックアップする
• JBoss EAP 5.2 を使うサーバーを洗い出す

用語メモ

デシリアライズ

送られてきたデータを、プログラムの中で使えるオブジェクトの形に戻す処理です。

HTTP Invoker

JBoss で、ウェブの通信を使ってサーバーの機能を呼び出すための仕組みです。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムです。