最近の脆弱性 › CVE-2019-0344

SAP Commerce Cloud の安全でないデシリアライズの脆弱性（CVE-2019-0344）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2019-0344
製品	SAP Commerce Cloud
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-09-30
米国政府機関の対応期限	2024-10-21
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-502

何が起きた

SAP Commerce Cloud（以前の名前は Hybris）の virtualjdbc extension などに、安全でないデシリアライズ（受け取ったデータを、確かめずにプログラムの部品に組み立て直してしまう処理）の弱点が見つかり、実際に悪用が確認されています。悪用されると、対象のサーバー上で、Hybris の利用者の権限で任意のプログラムを動かされるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作なしで攻撃できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SAP Commerce Cloud を使っている組織が対象です。影響を受けるのは、6.4、6.5、6.6、6.7、1808、1811、1905 のバージョンです。

何をすればいい

使っている SAP Commerce Cloud のバージョンが、影響を受ける一覧に入っているか確認してください。CVE の記録では、SAP Note 2786035 が参照先として示されているので、その内容に従って対策してください。対策ができない場合は、使用をやめることも検討してください。あわせて、SAP の公式の案内を確認してください。

やることチェックリスト

使っている版が対象の一覧にあるか確認する
SAP Note 2786035 の内容を確認する
対策できない場合は使用中止を検討する

用語メモ

デシリアライズ: 保存や送信のために変換されたデータを、プログラムで使える形に組み立て直す処理です。
extension: 製品に機能を追加するための拡張部品です。

元データ（英語・CISA KEV より）

SAP Commerce Cloud Deserialization of Untrusted Data Vulnerability

概要

SAP Commerce Cloud (formerly known as Hybris) contains a deserialization of untrusted data vulnerability within the mediaconversion and virtualjdbc extension that allows for code injection.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.