• ひとことでJBoss のサーバーで、細工したデータからコードを実行される弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることRHSA-2018:1607 の更新を当てる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2017-12149
製品Red Hat JBoss Application Server
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-12-10
米国政府機関の対応期限2022-06-10
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-502（信頼できないデータのデシリアライズ）

何が起きた

Red Hat JBoss Enterprise Application Platform 5.2 に含まれる JBoss Application Server で、HTTP Invoker という機能が受け取ったデータを、種類を確かめずに元のオブジェクトに戻して（デシリアライズして）しまう弱点が見つかりました。そのため、細工したデータを送るとサーバー上で任意の（攻撃者が好きに選べる）コードを実行されます。CISA によると、実際に悪用が確認されており、ランサムウェアの攻撃での悪用も知られています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が HTTP Invoker に接続する → 2. 細工したデータを送る → 3. データがそのままデシリアライズされる → 4. サーバー上でコードが実行される1攻撃者が HTTP Invoker に接続する2細工したデータを送る3データがそのままデシリアライズされる4サーバー上でコードが実行される攻撃の流れ: 1. 攻撃者が HTTP Invoker に接続する → 2. 細工したデータを送る → 3. データがそのままデシリアライズされる → 4. サーバー上でコードが実行される1攻撃者が HTTP Invoker に接続する2細工したデータを送る3データがそのままデシリアライズされる4サーバー上でコードが実行される攻撃の流れ: 1. 攻撃者が HTTP Invoker に接続する → 2. 細工したデータを送る → 3. データがそのままデシリアライズされる → 4. サーバー上でコードが実行される1攻撃者が HTTP Invoker に接続する2細工したデータを送る3データがそのままデシリアライズされる4サーバー上でコードが実行される

誰が影響を受ける

Red Hat JBoss Enterprise Application Platform 5.2 に含まれる JBoss Application Server を使っている人・組織が影響を受けます。

何をすればいい

Red Hat は、この弱点を直す更新を RHSA-2018:1607 などで公開しています。Red Hat の公式の案内を確認し、更新を当ててください。Red Hat の案内では、更新の前にいまの環境をバックアップするよう書かれています。

やることチェックリスト

  • RHSA-2018:1607 の更新を当てる
  • 更新の前に今の環境をバックアップする
  • JBoss EAP 5.2 を使うサーバーを洗い出す

用語メモ

デシリアライズ 用語集で見る
送られてきたデータを、プログラムの中で使えるオブジェクトの形に戻す処理です。
HTTP Invoker
JBoss で、ウェブの通信を使ってサーバーの機能を呼び出すための仕組みです。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Red Hat Automatic Bug Reporting Tool（CVE-2015-5287）7.8 重要CVSS v3.1Red HatのABRTで、名前を予想できるファイルを悪用して権限を高められる弱点です。同じ製品・メーカーの脆弱性Red Hat Libuser（CVE-2015-3246）7.4 重要CVSS v3.1Red Hatのlibuserで、/etc/passwdの書き換え中の誤りを突かれ、機器を使えなくされたり権限を高められたりする弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Red Hat JBoss Application Server Remote Code Execution Vulnerability

概要

The JBoss Application Server, shipped with Red Hat Enterprise Application Platform 5.2, allows an attacker to execute arbitrary code via crafted serialized data.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る