最近の脆弱性 › CVE-2019-2725
Oracle WebLogic Server の脆弱性（CVE-2019-2725）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-2725 |
|---|---|
| 製品 | Oracle WebLogic Server |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-01-10 |
| 米国政府機関の対応期限 | 2022-07-10 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-74 |
何が起きた
Oracle WebLogic Server の Web Services という部分に、受け取ったデータをそのまま組み立て直して（デシリアライズして）しまう弱点が見つかりました。Oracle の勧告によると、ユーザー名やパスワードなしに、ネットワーク経由で HTTP を通じて悪用でき、遠くからコードを実行されるおそれがあります。成功すると WebLogic Server が乗っ取られるおそれがあります。この弱点は実際の攻撃に使われたことが CISA によって確認されており、ランサムウェアでの悪用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Oracle WebLogic Server を使っている組織が対象です。NVD の説明では、影響を受けるのはサポート中のバージョンのうち 10.3.6.0.0 と 12.1.3.0.0 です。
何をすればいい
Oracle は、Security Alert（緊急の勧告）で出した更新を、できるだけ早く当てるよう強く勧めています。使っている WebLogic Server に、この Security Alert の修正パッチが当たっているか確認してください。Oracle の公式の案内（CVE-2019-2725 の Security Alert）を確認してください。
やることチェックリスト
- Security Alert の修正パッチを当てる
- 10.3.6.0.0 と 12.1.3.0.0 の利用を調べる
- CVE-2019-2725 の Security Alert の対象か調べる
用語メモ
- WebLogic Server
- Oracle の、企業向けの Web アプリを動かすためのサーバーソフトです。
- デシリアライズ
- 送られてきたデータを、プログラムで使える形に組み立て直すことです。中身を確かめずに行うと、攻撃に悪用されることがあります。
- ランサムウェア
- データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。
元データ（英語・CISA KEV より）
Oracle WebLogic Server, Injection
概要
Injection vulnerability in the Oracle WebLogic Server component of Oracle Fusion Middleware (subcomponent: Web Services).
推奨対応
Apply updates per vendor instructions.