CVE-2018-2628とは？Oracle WebLogic Serverの脆弱性をわかりやすく解説

ひとことでOracle WebLogic Server に、ログインなしでサーバーを乗っ取られる弱点があります。
深刻度9.8 緊急CVSS v3.1
まずやること2018年4月のCritical Patch Updateを適用する

基本情報（データから表示）

CVE番号	CVE-2018-2628
製品	Oracle WebLogic Server
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-09-08
米国政府機関の対応期限	2022-09-29
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-502（信頼できないデータのデシリアライズ）

何が起きた

Oracle WebLogic Server の中心部分（WLS Core Components）に弱点が見つかり、実際に悪用が確認されています。T3 という通信の方法でサーバーに届く攻撃者が、ログインなしで WebLogic Server を乗っ取れるおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle WebLogic Server の 10.3.6.0、12.1.3.0、12.2.1.2、12.2.1.3 を使っている組織が対象です。

何をすればいい

Oracle が 2018 年 4 月の Critical Patch Update で出した修正を適用してください。適用の方法は、Oracle の公式の案内（Critical Patch Update April 2018）にある資料を確認してください。

やることチェックリスト

2018年4月のCritical Patch Updateを適用する
WebLogic Serverのバージョンを確認する
Oracleの資料で適用の手順を確かめる

用語メモ

T3 用語集で見る: WebLogic Server がほかのプログラムとやり取りするために使う、Oracle 独自の通信の方法です。
Critical Patch Update 用語集で見る: Oracle が定期的にまとめて出す、セキュリティの修正の集まりです。

次に読む

同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2024-21182）7.5 重要CVSS v3.1Oracle WebLogic Server で、ログインなしに大事なデータを読まれるおそれがある弱点です。同じ製品・メーカーの脆弱性Oracle WebLogic Server（CVE-2020-2883）9.8 緊急CVSS v3.1Oracle WebLogic Server で、ログインなしにサーバーを乗っ取られるおそれがある弱点です基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle WebLogic Server Unspecified Vulnerability

概要

Oracle WebLogic Server contains an unspecified vulnerability which can allow an unauthenticated attacker with T3 network access to compromise the server.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Oracle WebLogic Server の脆弱性（CVE-2018-2628）