- ひとことでOracle BI Publisherで、ログインなしにデータを読み書きされる弱点です。
- 深刻度7.2 重要CVSS v3.1
- まずやること2019年4月のCritical Patch Updateを当てる
基本情報（データから表示）
| CVE番号 | CVE-2019-2616 |
|---|---|
| 製品 | Oracle BI Publisher (Formerly XML Publisher) |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N |
| KEVへの追加日 | 2022-03-25 |
| 米国政府機関の対応期限 | 2022-04-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | 不明 |
何が起きた
Oracle Fusion Middleware の BI Publisher（以前の名前は XML Publisher）のセキュリティ部分に弱点が見つかりました。攻撃者は HTTP で接続するだけで、BI Publisher が扱う一部のデータを追加・変更・削除したり、読み取ったりできるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されており、公開情報では認証のすり抜けにつながるとも報告されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Oracle BI Publisher を使っている組織が対象です。影響を受けるのは、11.1.1.9.0、12.2.1.3.0、12.2.1.4.0 です。被害は BI Publisher 以外の製品にも広がるおそれがあるとされています。
何をすればいい
Oracle の 2019年4月の Critical Patch Update（定期的にまとめて出す修正）を当てているか確認してください。Oracle はできるだけ早く当てることを強くすすめています。当てるまでの間は、攻撃に必要なネットワークの通信（この弱点では HTTP）を遮断すると危険を減らせる場合があるとしています。ただし、遮断するとアプリケーションの機能が使えなくなる場合があるとも説明しています。あわせて、公式の案内を確認してください。
やることチェックリスト
- 2019年4月のCritical Patch Updateを当てる
- BI Publisherのバージョンを調べる
- 修正までHTTPでの接続を遮断する
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Oracle BI Publisher Unauthorized Access Vulnerability
概要
Oracle BI Publisher, formerly XML Publisher, contains an unspecified vulnerability that allows for various unauthorized actions. Open-source reporting attributes this vulnerability to allowing for authentication bypass.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る