Oracle WebLogic Server のOSコマンドインジェクションの脆弱性（CVE-2017-3506）

何が起きた

Oracle WebLogic Server の Web Services という部分に、外から送られた内容をもとに OS のコマンドが実行されてしまう弱点が見つかりました。CISA の一覧によると、悪意のある XML 文書を含む細工した HTTP リクエストを送ることで、攻撃者が任意の（攻撃者が好きに選べる）コードを実行できるとされています。ネットワーク経由で、ログインしていない攻撃者でも悪用できます。この弱点は実際の攻撃で悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server を使っている組織が対象です。Oracle の発表では、影響を受けるバージョンは 10.3.6.0、12.1.3.0、12.2.1.0、12.2.1.1、12.2.1.2 です。

何をすればいい

修正は、Oracle が公開した Critical Patch Update（2017年4月）に含まれています。WebLogic Server にこの修正が当たっているかを確認し、当たっていなければ適用してください。Oracle は、サポートが続いているバージョンを使い、Critical Patch Update の修正を遅れずに当てるよう強く勧めています。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• WebLogic Server のバージョンを調べる
• 2017年4月の Critical Patch Update を適用する
• サポートが続いているバージョンへ移行する

用語メモ

XML

データの中身や構造を、タグで囲んで書き表すための形式です。システムどうしのやりとりによく使われます。

HTTP リクエスト

ブラウザやプログラムが、Web サーバーに送る「この処理をしてほしい」という依頼のメッセージです。

Critical Patch Update

Oracle が決まった時期にまとめて出す、セキュリティの修正の集まりです。