Oracle BI Publisher (Formerly XML Publisher) の脆弱性（CVE-2019-2616）

何が起きた

Oracle Fusion Middleware の BI Publisher（以前の名前は XML Publisher）のセキュリティ部分に弱点が見つかりました。攻撃者は HTTP で接続するだけで、BI Publisher が扱う一部のデータを追加・変更・削除したり、読み取ったりできるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されており、公開情報では認証のすり抜けにつながるとも報告されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle BI Publisher を使っている組織が対象です。影響を受けるのは、11.1.1.9.0、12.2.1.3.0、12.2.1.4.0 です。被害は BI Publisher 以外の製品にも広がるおそれがあるとされています。

何をすればいい

Oracle の 2019年4月の Critical Patch Update（定期的にまとめて出す修正）を当てているか確認してください。Oracle はできるだけ早く当てることを強くすすめています。当てるまでの間は、攻撃に必要なネットワークの通信（この弱点では HTTP）を遮断すると危険を減らせる場合があるとしています。ただし、遮断するとアプリケーションの機能が使えなくなる場合があるとも説明しています。あわせて、公式の案内を確認してください。

やることチェックリスト

• 2019年4月のCritical Patch Updateを当てる
• BI Publisherのバージョンを調べる
• 修正までHTTPでの接続を遮断する

用語メモ

Critical Patch Update

Oracle が決まった時期にまとめて出す、セキュリティの修正プログラムの集まりです。

HTTP

Webページなどのデータをやり取りするための通信の決まりです。